1

Springを用いてJava8で複数のAPIを実装しています。
特定のAPI(POSTリクエスト"/secure/1")でのみBasic認証を行いたいため、Spring Securityで認証処理を実装しようとしています。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
                .antMatchers("/secure/1").authenticated() // /secure/1 に対して Basic 認証を適用
                .anyRequest().permitAll() // それ以外のリクエストは認証不要
                .and()
            .httpBasic(); // Basic認証を有効にする
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication() // 認証情報の設定
            .withUser("username")
            .password(passwordEncoder().encode("password"))
            .roles("USER");
    }

    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

上記に対してPostmanで確認を行ったところ、

POSTリクエスト"/secure/1"の場合、想定通り
①Basic認証情報なし:認証エラー(401)
②正しいBasic認証情報:正常(200)
③不正なBasic認証情報:認証エラー(401)

POSTリクエスト"/nonsecure/2"の場合に想定外の動き
④Basic認証情報なし:正常(200)
⑤正しいBasic認証情報:正常(200)
⑥不正なBasic認証情報:認証エラー(401)

となり、⑥ではpermitAll()の対象としてBasic認証情報の有無に関わらず認証される想定ですが、401エラーになってしまいます。

Springの公式リファレンスを確認しても原因を特定できません。どなたかご教示いただけませんでしょうか?

※Postmanのキャッシュクリア、サーバーの再起動で直らないことは確認済みです。

1 件の回答 1

0

/secure/1 でのみ認証するようにすれば良いでしょう:

    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .antMatcher("/secure/1").authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .httpBasic();
    }

【1】

http.authorizeRequests() というのは http.antMatcher("/**").authorizeRequests() と同義で、 /secure/2 も含めて全てのパスで認証処理が行われます。

【2】

匿名認証 がデフォルトで有効になっており、認証情報未設定でリクエストした場合、 ROLE_ANONYMOUS という認可情報が付与された匿名ユーザーとして認証されます。
他方、認証情報を設定してリクエストした場合でそれが誤っていた場合、認証エラーになります。

permitAll()ROLE_ANONYMOUS を含むいずれの認可情報でも許可するという設定です。
(そして想像通り、 authenticated()ROLE_ANONYMOUS を許可しません)

つまり、

④Basic認証情報なし:正常(200)

は匿名ユーザーとして認可され、

⑥不正なBasic認証情報:認証エラー(401)

は認証失敗です。
ためしに匿名認証を無効化 anonymous().disable() してみると、④も認証失敗で 401 になります。

    protected void configure(HttpSecurity http) throws Exception {
        http
          .anonymous().disable() // これを加える
          // あとは同じ

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。