Spring Security(+ MVC) JavaConfig

概要

Spring SecurityとSpring MVCをxmlを使わずに設定してみた際のメモ。

完全なソースはGutHub

設定内容

• 認証エラーの場合はログインページを表示する
• 但し、Ajaxリクエストの場合はHTTPステータス401を返す
• Thymeleafでsec:authorize="hasRole('ROLE_ADMIN')"のように、ロールによって表示を切り替えられるようにする

必要な依存関係

使用する主なモジュールとバージョン

• SpringSecurity : 4.0.0.M1
• SpringMVC : 4.0.5.RELEASE
• Thymeleaf : 2.1.3.RELEASE

詳細はpom.xmを参照

SpringSecurityの設定

今回はAjaxリクエストの場合はログインページにリダイレクトするのではなくて、HTTPステータス401を返したいので、リクエストヘッダにX-Requested-With: XMLHttpRequestがあった場合のAuthenticationEntryPointを追加しています。

WebSecurityConfig

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
		auth.inMemoryAuthentication()
			.withUser("admin").password("admin").roles("ADMIN").and()
			.withUser("user").password("user").roles("USER");
	}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http
			.authorizeRequests()
				.antMatchers(
					"/",
					"/css/**",
					"/login",
					"/logout").permitAll()
				.anyRequest().authenticated()
				.and()
			.formLogin()
				.loginPage("/login")
				.and()
			.logout()
				.logoutRequestMatcher(logoutRequestMatcher())
				.invalidateHttpSession(true)
				.and()
			.csrf()
				.and()
			.exceptionHandling()
				.defaultAuthenticationEntryPointFor(
					ajaxAuthenticationEntryPoint(),
					ajaxRequestMatcher()
				);
	}

	@Bean
	public AuthenticationEntryPoint ajaxAuthenticationEntryPoint() {
	return new AuthenticationEntryPoint() {
		@Override
		public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
			response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
		}
	};
	}

	@Bean
	public RequestMatcher ajaxRequestMatcher() {
	return new RequestHeaderRequestMatcher("X-Requested-With", "XMLHttpRequest");
	}

	@Bean
	public RequestMatcher logoutRequestMatcher() {
	return new AntPathRequestMatcher("/logout");
	}

}

SpringMVCの設定

リソースハンドラとビューを返すだけのコントローラーを追加しています。
それから@Import(ThymeleafConfig.class)でThymeleafの設定をインポート。

WebMvcConfig

@Configuration
@EnableWebMvc
@Import(ThymeleafConfig.class)
@ComponentScan(
		basePackageClasses = {AjaxTestController.class}
)
public class WebMvcConfig extends WebMvcConfigurerAdapter {

	@Override
	public void addResourceHandlers(ResourceHandlerRegistry registry) {
		registry.addResourceHandler("/css/**").addResourceLocations("/WEB-INF/views/css/");
	}

	@Override
	public void addViewControllers(ViewControllerRegistry registry) {
		registry.addViewController("/").setViewName("index");
		registry.addViewController("/login").setViewName("login");
		registry.addViewController("/member").setViewName("member");
	}
}

Tymeleafの設定

ThymeleafとSpringSecurityを連携するためにSpringSecurityDialectを追加。
開発中はキャッシュされない方がいいのでresolver.setCacheable(false);
それから文字コードの設定は2箇所あるので注意。

ThymeleafConfig

@Configuration
public class ThymeleafConfig {

	private final String CHARACTER_ENCODING = "UTF-8";

	@Bean
	public ServletContextTemplateResolver templateResolver() {
		ServletContextTemplateResolver resolver
				= new ServletContextTemplateResolver();
		resolver.setPrefix("/WEB-INF/views/");
		resolver.setSuffix(".html");
		resolver.setTemplateMode("HTML5");
		resolver.setCharacterEncoding(CHARACTER_ENCODING);
		resolver.setCacheable(false);
		return resolver;
	}

	@Bean
	public SpringTemplateEngine templateEngine() {
		SpringTemplateEngine engine = new SpringTemplateEngine();
		engine.setTemplateResolver(templateResolver());
		engine.addDialect(springSecurityDialect());
		return engine;
	}

	@Bean
	public ThymeleafViewResolver thymeleafViewResolver() {
		ThymeleafViewResolver resolver = new ThymeleafViewResolver();
		resolver.setTemplateEngine(templateEngine());
		resolver.setCharacterEncoding(CHARACTER_ENCODING);
		return resolver;
	}

	@Bean
	public IDialect springSecurityDialect() {
		SpringSecurityDialect dialect = new SpringSecurityDialect();
		return dialect;
	}
}