本文介绍如何在Linux环境下，利用Swagger和Spring Security实现基于角色的访问控制（RBAC），保护Swagger API文档的安全。
步骤一：集成Spring Security
Spring Security是强大的安全框架，负责认证和授权。
-
添加依赖: 在
pom.xml文件中添加Spring Security依赖：
org.springframework.boot spring-boot-starter-security
-
配置Spring Security: 创建一个配置类（例如
SecurityConfig），定义安全规则。以下配置仅允许具有"ADMIN"角色的用户访问Swagger UI和API文档：
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/swagger-ui/**", "/v2/api-docs/**").hasRole("ADMIN")
.anyRequest().authenticated()
.and()
.httpBasic();
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
步骤二：配置Swagger
确保Swagger正确配置并与Spring Security集成。
-
添加Swagger依赖: 在
pom.xml中添加Swagger依赖：
io.springfox springfox-swagger2 2.9.2 io.springfox springfox-swagger-ui 2.9.2
-
Swagger配置类: 创建一个配置类（例如
SwaggerConfig）：
@Configuration
@EnableSwagger2
public class SwaggerConfig {
@Bean
public Docket api() {
return new Docket(DocumentationType.SWAGGER_2)
.select()
.apis(RequestHandlerSelectors.basePackage("com.example.demo")) // 替换成你的包名
.paths(PathSelectors.any())
.build();
}
}
步骤三：用户认证与授权
云模块网站管理系统3.1.03
下载
云模块_YunMOK网站管理系统采用PHP+MYSQL为编程语言，搭载自主研发的模块化引擎驱动技术，实现可视化拖拽无技术创建并管理网站！如你所想，无限可能，支持创建任何网站：企业、商城、O2O、门户、论坛、人才等一块儿搞定！永久免费授权，包括商业用途； 默认内置三套免费模板。PC网站+手机网站+适配微信+文章管理+产品管理+SEO优化+组件扩展+NEW Login界面.....目测已经遥遥领先..
需要实现用户认证和授权逻辑。
-
用户实体: 创建一个
User实体类：
@Entity
public class User {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
private String username;
private String password;
private String role;
// Getters and Setters
}
-
用户服务: 实现
UserDetailsService接口：
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
@Autowired
private UserRepository userRepository; // 你的UserRepository
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userRepository.findByUsername(username).orElseThrow(() -> new UsernameNotFoundException("User not found"));
return new User(user.getUsername(), user.getPassword(), getAuthorities(user.getRole()));
}
private Collection getAuthorities(String role) {
return Collections.singletonList(new SimpleGrantedAuthority("ROLE_" + role));
}
}
步骤四：测试
启动应用，访问Swagger UI。系统会要求身份验证。使用正确的用户名和密码登录后，即可访问Swagger文档。
此配置确保只有拥有"ADMIN"角色的用户才能访问Swagger UI。 请记住将"com.example.demo"替换为你的实际包名，并根据你的数据库和应用调整用户存储和检索逻辑。 此外，为了更强的安全性，建议使用更高级的安全机制，例如JWT。
