[[Edited]]JWTspringsecurity：如何讓角色被.hasRole()或.hasAuthority()讀取，他們在那里查看用戶角色

我正在嘗試使用 HTTP 配置中的角色向 spring 執行器服務添加授權，但它不起作用并且回應為“禁止 403”，這意味著用戶未經授權。
所以我的問題是 .hasRole() 在使用 JWT 令牌時究竟在哪里找到登錄的用戶角色

這是擴展WebSecurityConfigurerAdapter類的類中的config 方法

    protected void configure(HttpSecurity http) throws Exception {
    http.cors()
        .and()
        .csrf().disable()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
        .addFilterBefore(new JwtTokenVerifier(jwtConfig), UsernamePasswordAuthenticationFilter.class)
        .authorizeRequests()
        .antMatchers("/auth/**").permitAll()
        .antMatchers("/actuator/**").hasRole("ACTUATOR")
        .anyRequest()
        .authenticated()
        .and()
        .formLogin().disable();
    }   

這里我把角色放在JWT Token中

public String generateJwtToken(UserDetailsImpl userDetails) {
        Map<String, Object> claims = new HashMap<>();
        Set<String> Userroles = new HashSet<>();

        Role r1 = new Role();
        r1.setDescription("ROLE_ACTUATOR");
        r1.setId(1L);
        
        Set<Role> roles = new HashSet<>();
        roles.add(r1);
        
        for(Role role:roles){
            Userroles.add(role.getDescription());
        }
        claims.put("Roles",Userroles.toArray());
        claims.put("userId", userDetails.getId());
        
    return Jwts.builder()
            .setClaims(claims)
        .setSubject(userDetails.getUsername())
        
        .setIssuedAt(new Date())
        .setExpiration(java.sql.Date.valueOf(LocalDate.now().plusDays(getTokenExpirationAfterDays())))
        .signWith(Keys.hmacShaKeyFor(getSecretKey().getBytes())).compact();
    }  

那么有什么問題或遺漏了什么？提前致謝
這是 JWT 自定義過濾器的更新：

public class JwtTokenVerifier extends OncePerRequestFilter {

    private JwtConfig jwtConfig;

    public JwtTokenVerifier(JwtConfig jwtConfig) {
    super();
    this.jwtConfig = jwtConfig;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
        throws ServletException, IOException {

    String authorizationHeader = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (authorizationHeader == null || authorizationHeader.isEmpty() || !authorizationHeader.startsWith(jwtConfig.getTokenPrefix())) {
        String requestParam = request.getParameter("token");
        if (requestParam != null && !requestParam.isEmpty() && requestParam.startsWith(jwtConfig.getTokenPrefix())) {
        authorizationHeader = requestParam;
        } else {
        filterChain.doFilter(request, response);
        return;
        }
    }
    try {
        if (jwtConfig.validateJwtToken(authorizationHeader)) {
        String username = jwtConfig.getUserNameFromJwtToken(authorizationHeader);

        Authentication auth = new UsernamePasswordAuthenticationToken(username, new WebAuthenticationDetailsSource().buildDetails(request), null);
        SecurityContextHolder.getContext().setAuthentication(auth);
        }

    } catch (Exception e) {
        e.printStackTrace();
        response.sendError(HttpServletResponse.SC_FORBIDDEN, e.getMessage());
    }
    filterChain.doFilter(request, response);
    }

}

uj5u.com熱心網友回復：

在WebSecurityConfigurerAdapter擴展中，我看到了ACTUATOR，但在用戶詳細資訊定義中我看到了ROLE_ACTUATOR。這是不匹配嗎？

uj5u.com熱心網友回復：

感謝@SteveRiesenberg，正如聊天中所說，“如果您的自定義 JWT 過濾器未處理角色，那么這就是問題所在。執行身份驗證時必須填充角色（權限）。”
因此，由于角色不在過濾器中處理，因此它們不會通過安全鏈。
過濾器的代碼編輯如下：

UserDetailsImpl userDetails  = (UserDetailsImpl) userDetailsService.loadUserByUsername(username);
Collection<? extends GrantedAuthority> authorities = userDetails.getAuthorities();
                
Authentication auth = new UsernamePasswordAuthenticationToken(username, new WebAuthenticationDetailsSource().buildDetails(request), authorities); 

凡當局傳遞到UsernamePasswordAuthenticationToken和UserDetailsImpl為實施UserDetails由彈簧提供一流

標籤：春天 弹簧靴 http 弹簧安全 授权

上一篇：Post引數為空NodeJSExpress

下一篇：SQL將Nvarchar時間轉換為十進制數