本文档旨在帮助开发者理解并替换Spring Security中已弃用的`authorizeRequests()`方法。我们将介绍推荐的替代方案`authorizeHttpRequests()`及其使用方法，并提供详细的代码示例，确保您能顺利地将现有的安全配置迁移到新的API。通过本文，您将掌握Spring Security最新的授权配置方式，提升应用程序的安全性。
在Spring Security中，authorizeRequests()方法已被标记为deprecated，推荐使用authorizeHttpRequests()来替代。authorizeHttpRequests()提供了更灵活和现代化的方式来配置HTTP请求的授权规则。 本文将详细介绍如何使用authorizeHttpRequests()及其相关配置。
使用authorizeHttpRequests()
authorizeHttpRequests()方法接受一个Customizer接口作为参数，允许你使用lambda表达式或方法引用来配置授权规则。这使得配置更加简洁和易于阅读。
以下是一个使用authorizeHttpRequests()的示例：
@Bean
public SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
httpSecurity = httpSecurity.csrf().disable()
.authenticationProvider(authenticationProvider())
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.and()
.authorizeHttpRequests((authorizeHttpRequests) ->
authorizeHttpRequests
.antMatchers(HttpMethod.GET, "/api/user/**").hasAnyAuthority("ROLE_USER")
)
.and()
.addFilter(new CustomAuthenticationFilter(authManagerBuilder.getOrBuild()));
return httpSecurity.build();
}在这个例子中，我们使用lambda表达式来配置authorizeHttpRequests。 antMatchers(HttpMethod.GET, "/api/user/**").hasAnyAuthority("ROLE_USER") 这行代码表示，对于所有以/api/user/**开头的GET请求，用户必须拥有ROLE_USER权限才能访问。
详细配置
authorizeHttpRequests 提供了多种配置选项，可以满足不同的授权需求：
- antMatchers(String... patterns) / antMatchers(HttpMethod method, String... patterns): 匹配特定的URL模式。可以使用通配符（如**和*）来匹配多个URL。
- mvcMatchers(String... patterns) / mvcMatchers(HttpMethod method, String... patterns): 类似于antMatchers，但更适合Spring MVC环境，可以处理URL编码和解码。
- regexMatchers(String... patterns) / regexMatchers(HttpMethod method, String... patterns): 使用正则表达式匹配URL。
- requestMatchers(RequestMatcher... requestMatchers): 使用自定义的RequestMatcher来匹配请求。
- permitAll(): 允许所有用户访问，无需认证。
- denyAll(): 拒绝所有用户访问。
- authenticated(): 要求用户必须已经认证。
- anonymous(): 允许匿名用户访问。
- hasAuthority(String authority): 要求用户拥有指定的权限。
- hasAnyAuthority(String... authorities): 要求用户拥有任意一个指定的权限。
- hasRole(String role): 要求用户拥有指定的角色（会自动添加ROLE_前缀）。
- hasAnyRole(String... roles): 要求用户拥有任意一个指定的角色（会自动添加ROLE_前缀）。
- access(String attribute): 使用Spring Expression Language (SpEL) 表达式进行更复杂的授权判断。
注意事项
- 配置顺序: 授权规则的顺序非常重要。Spring Security会按照配置的顺序依次检查规则，一旦匹配成功，就会停止检查后续规则。因此，应该将最具体的规则放在前面，最通用的规则放在后面。
- 默认行为: 如果没有配置任何授权规则，默认行为是允许所有用户访问。因此，务必显式配置授权规则，以确保应用程序的安全性。
- 升级指南: 在将authorizeRequests()替换为authorizeHttpRequests()时，需要仔细检查现有的授权规则，并将其转换为新的API。确保所有规则都正确配置，以避免出现安全漏洞。
- HttpMethod: 在使用antMatchers时，明确指定HttpMethod可以提高安全性，避免不必要的权限泄露。
总结
authorizeHttpRequests()是Spring Security中authorizeRequests()的推荐替代方案。它提供了更灵活、更现代化的方式来配置HTTP请求的授权规则。通过本文的介绍，你应该能够理解如何使用authorizeHttpRequests()及其相关配置，并将现有的安全配置迁移到新的API。记住，配置顺序和默认行为是需要特别注意的关键点。
