我关注了documentation关于如何使用 @PreAuthorize
保护 REST 存储库。但是,以下存储库
@PreAuthorize("hasRole('ROLE_ADMIN')")
@RepositoryRestResource
public interface RouteRepository extends SortingOnlyRepository<Route, Long> {
}
需要由 ApplicationRunner
访问才能在应用程序启动后执行一些初始设置任务。
@Component
public class RouteBuilder implements ApplicationRunner {
private final RouteRepository repository;
public RouteBuilder(RouteRepository repository) {
this.repository = repository;
}
@Override
public void run(ApplicationArguments args) throws Exception {
repository.findAll()
.stream()
// do something
;
}
}
由于执行此运行程序时没有 Activity 的安全上下文,因此应用程序根本不会启动
java.lang.IllegalStateException: Failed to load ApplicationContext
Caused by: java.lang.IllegalStateException: Failed to execute ApplicationRunner
Caused by: org.springframework.security.authentication.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext
我可以选择哪些选项来正确访问 REST 存储库?我在想
- 填充一个假
身份验证
,例如 this - 解耦关注点,并且不要在此用例中使用 REST 存储库
- 单独在
WebSecurityConfig
中配置安全性
最佳答案
问题的答案是填充适当的(假的)安全上下文,实际上在官方 Spring Data REST + Spring Security 中给出了答案示例。
改编自Application
:
try {
SecurityUtils.runAs("system", "system", "ROLE_ADMIN");
repository.findAll()
.stream()
// do something
;
} finally {
SecurityContextHolder.clearContext();
}
public static void runAs(String username, String password, String... roles) {
SecurityContextHolder.getContext().setAuthentication(
new UsernamePasswordAuthenticationToken(username, password, AuthorityUtils.createAuthorityList(roles)));
}
关于java - 如何在 ApplicationRunner 中正确访问安全的 Spring Data REST 存储库?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/61411411/