We’ll add a debug level and ignore some paths, like images or scripts:

@Bean
public WebSecurityCustomizer webSecurityCustomizer() {
    return web -> web.debug(securityDebug).ignoring().requestMatchers("/css/**", "/js/**", "/img/**", "/lib/**", "/favicon.ico");
}

3. Endpoints 控制器

現在，我們將為我們的應用程序定義一個簡單的 REST 控制器類:

@RestController
public class ResourceController {
    @GetMapping("/login")
    public String loginEndpoint() {
        return "Login!";
    }

    @GetMapping("/admin")
    public String adminEndpoint() {
        return "Admin!";
    }

    @GetMapping("/user")
    public String userEndpoint() {
        return "User!";
    }

    @GetMapping("/all")
    public String allRolesEndpoint() {
        return "All Roles!";
    }

    @DeleteMapping("/delete")
    public String deleteEndpoint(@RequestBody String s) {
        return "I am deleting " + s;
    }
}

正如我們之前提到的，在定義 HTTP 安全性時，我們將添加一個通用的 /login 終點，供任何人訪問，以及針對管理員和用户的特定終點，以及未通過角色保護的 /all 終點，但仍然需要身份驗證。

4. 測試端點

讓我們使用 MVC 模擬測試，將新的配置添加到 Spring Boot 測試中，以測試我們的端點。

4.1. 測試匿名用户

匿名用户可以訪問 /login 端點。如果他們嘗試訪問其他內容，他們將被拒絕訪問 (401)：

@Test
@WithAnonymousUser
public void whenAnonymousAccessLogin_thenOk() throws Exception {
    mvc.perform(get("/login"))
      .andExpect(status().isOk());
}

@Test
@WithAnonymousUser
public void whenAnonymousAccessRestrictedEndpoint_thenIsUnauthorized() throws Exception {
    mvc.perform(get("/all"))
      .andExpect(status().isUnauthorized());
}

此外，對於所有端點（除了 /login），我們始終需要身份驗證，就像對於 /all 端點一樣。

4.2. 測試用户角色

用户角色可以訪問通用端點和為該角色提供的所有其他路徑：

@Test
@WithUserDetails()
public void whenUserAccessUserSecuredEndpoint_thenOk() throws Exception {
    mvc.perform(get("/user"))
      .andExpect(status().isOk());
}

@Test
@WithUserDetails()
public void whenUserAccessRestrictedEndpoint_thenOk() throws Exception {
    mvc.perform(get("/all"))
      .andExpect(status().isOk());
}

@Test
@WithUserDetails()
public void whenUserAccessAdminSecuredEndpoint_thenIsForbidden() throws Exception {
    mvc.perform(get("/admin"))
      .andExpect(status().isForbidden());
}

@Test
@WithUserDetails()
public void whenUserAccessDeleteSecuredEndpoint_thenIsForbidden() throws Exception {
    mvc.perform(delete("/delete").content("{}"))
      .andExpect(status().isForbidden());
}

值得注意的是，如果用户角色嘗試訪問管理端點，用户將收到“禁止”錯誤 (403)。

相反，沒有憑據的人，如前一個示例中的匿名用户，將收到“未授權”錯誤 (401)。

4.3. 測試管理角色

正如你所看到的，具有管理角色的人可以訪問任何端點：

@Test
@WithUserDetails(value = "admin")
public void whenAdminAccessUserEndpoint_thenOk() throws Exception {
    mvc.perform(get("/user"))
      .andExpect(status().isOk());
}

@Test
@WithUserDetails(value = "admin")
public void whenAdminAccessAdminSecuredEndpoint_thenIsOk() throws Exception {
    mvc.perform(get("/admin"))
      .andExpect(status().isOk());
}

@Test
@WithUserDetails(value = "admin")
public void whenAdminAccessDeleteSecuredEndpoint_thenIsOk() throws Exception {
    mvc.perform(delete("/delete").content("{}"))
      .andExpect(status().isOk());
}

5. 處理已棄用的 csrf() 和 requiresChannel()

隨着 Spring Security 最近的更新，用於 HTTP 安全配置的方法，如 csrf() 和 requiresChannel()，存在需要調整的版本以進行遷移到最新版本的 Spring Boot 的情況。 在本部分，我們將討論使用 lambda 表達式配置這些方法的更新方式。

以前使用簡單的調用 http.csrf().disable() 來設置 CSRF 保護的設置，現在已調整為 lambda 語法：

http.csrf(csrf -> csrf.disable());