springsecurity路由拦截

### 如何在 Spring Security 中实现路由拦截配置

#### 配置安全性的新方法

为了适应最新的 Spring Security 版本，在不使用 `WebSecurityConfigurerAdapter` 的情况下，可以通过创建一个实现了 `SecurityFilterChain` 的 bean 来完成安全性配置。这种方式允许更灵活地定制化请求的安全策略。

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests(authorize -> authorize
                .antMatchers("/api/public/**").permitAll() // 公开访问路径
                .anyRequest().authenticated())             // 所有其他请求都需要认证
            .httpBasic();                                  // 使用HTTP Basic认证机制
            
        return http.build();
    }
}

上述代码展示了如何定义哪些 URL 路径可以公开访问以及哪些需要身份验证才能访问[^2]。

#### 自定义过滤器链

对于更加复杂的场景，比如集成 JWT 或者 OAuth2 等第三方认证服务，则可能需要注册额外的过滤器到默认的过滤器链条中去：

@Bean
public SecurityFilterChain customJwtAuthentication(SecurityBuilder<? extends SecurityFilterChain> builder,
                                                  JwtTokenProvider jwtTokenProvider) throws Exception {
    
    builder.addFilterBefore(new JwtAuthenticationFilter(jwtTokenProvider),
                            UsernamePasswordAuthenticationFilter.class);
    
    return builder.build();
}

这里展示了一个例子，其中添加了一个名为 `JwtAuthenticationFilter` 的自定义过滤器来处理带有 JSON Web Token (JWT) 的 HTTP 请求，并将其放置于用户名/密码表单登录之前的位置上执行。

#### 基于角色的访问控制

如果应用程序中有不同的用户角色并且希望根据这些角色来进行资源级别的权限管理的话，可以在 `.authorizeRequests()` 方法内部指定特定的角色对应的具体 URI 模式:

.authorizeRequests(authorize -> authorize
    .antMatchers("/admin/**").hasRole("ADMIN")          // 只允许管理员访问 /admin 下面的内容
    .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")// 用户和管理员都可以访问/user下的页面
    .anyRequest().denyAll())

这段代码说明了怎样利用`.hasRole()` 和 `.hasAnyRole()` 函数为某些 URL 设置基于角色的访问限制条件[^1]。