如何在Spring Boot中限制某个URL只对管理员访问？

在Spring Boot中，你可以通过Spring Security框架来实现对URL的权限控制。如果你想要限制某个URL只允许管理员（例如拥有特定角色，比如ROLE_ADMIN）访问，可以按照以下步骤操作：

1. **创建自定义Security Configuration**:
首先，你需要创建一个实现了WebSecurityConfigurerAdapter的自定义SecurityConfig类。在这个类中，你可以编写自定义的安全规则。

@Configuration
@EnableWebSecurity
public class CustomSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private MyUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN") // 限制/admin路径下的所有资源只对ROLE_ADMIN角色的用户开放
            .anyRequest().authenticated() // 其他请求需要认证
            .and()
            .formLogin() // 如果你需要表单登录
            .and()
            .logout(); // 定义注销功能
    }

    @Bean
    public UserDetailsService myUserDetailsService() {
        return userDetailsService;
    }
}

2. **创建UserDetailsService**:
自定义UserDetailsService用于加载用户的详细信息，包括是否具备特定的角色。在这里，你需要根据数据库或其他身份管理服务判断用户是否有ROLE_ADMIN角色。

@Service
public class MyUserDetailsService implements UserDetailsService {
    // ... 实现 loadUserByUsername 方法并检查用户角色
}

3. **启动安全扫描**:
在Spring Boot应用中启用Security自动配置，这会在启动时扫描SecurityConfig类。

spring:
  security:
    user-service:
      userDetailsService: your.package.MyUserDetailsService

现在，指定的/admin URL将仅允许具有ROLE_ADMIN角色的用户访问，其余URL则需要用户经过身份验证。