将Spring Security用于SpringBoot的Swagger访问控制，轻松掌控文档访问

2023-10-28 09:14:30

使用 Spring Security 控制 Spring Boot 中的 Swagger 访问权限

简介

作为一名开发人员，你是否曾遇到过精心构建的 Swagger API 文档却因 Spring Security 的安全限制而无法被授权用户访问的情况？这不仅令人沮丧，还会影响团队的开发效率。为了解决这一难题，我们将介绍一个解决方案：使用 Spring Security 控制 Spring Boot 中的 Swagger 访问权限。

集成 Swagger

首先，让我们了解如何将 Swagger 集成到 Spring Boot 项目中：

在 pom.xml 文件中引入 Swagger 依赖项。
在应用程序主类上添加 @EnableSwagger2 和 @Api 注解。
创建 Swagger 配置类，并指定要扫描的包路径。
运行应用程序，即可在浏览器中访问 Swagger UI 界面。

使用 Spring Security 保护 Swagger

完成上述步骤后，让我们看看如何让 Spring Security 为 Swagger 保驾护航：

在 Spring Security 配置类中配置安全策略。
创建一个自定义的 WebSecurityConfigurerAdapter，并覆盖 configure() 方法。
在 configure() 方法中，使用 .antMatchers("/swagger-ui.html").permitAll() 来放开 Swagger UI 界面的访问权限。

通过这些步骤，你已成功地为 Swagger 披上了 Spring Security 的安全外衣，确保只有授权用户才能访问 Swagger UI 界面。

进一步细化访问权限控制

除了基本访问权限控制外，你还可以进一步细化权限：

根据用户角色限制对某些 API 端点的访问。
使用 OAuth2 或 JWT 等身份验证机制保护 API 文档的访问。
通过自定义错误页面为未经授权的访问提供友好的提示。

代码示例

以下是使用 Spring Security 配置 Swagger 访问权限的代码示例：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/swagger-ui.html").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin().permitAll();
    }
}