spring security workshop 09.06.2024

readme.md

Ankieta https://bit.ly/4aLRc8h

Spring Security workshop Stacja.IT - 09.06.2024

• Wyślij proszę maila na [email protected]
• Repozytorium https://github.com/rjozefowicz/spring-security

Ważne linki

• Spring Security Architecture - https://docs.spring.io/spring-security/reference/servlet/architecture.html
• Spring Security documentation - https://docs.spring.io/spring-security/reference/index.html
• Thymeleaf Spring Security integration - https://github.com/thymeleaf/thymeleaf-extras-springsecurity
• Spring Boot properties - https://docs.spring.io/spring-boot/docs/current/reference/html/appendix-application-properties.html#security-properties

DEBUG logs

logging.level.org.springframework.security=DEBUG

Thymeleaf najpopularniejsze tagi:

<div class="alert alert-primary" sec:authorize="hasRole('ROLE_USER')">
    Widoczny tylko dla roli User
</div>
<div class="alert alert-primary" th:if="${#authorization.expression('hasRole(''ROLE_ADMIN'')')}">
    Tylko dla użytkowników z rolą ADMIN
</div>

<div class="alert alert-primary" sec:authorize-url="/user/delete/1">
    Widoczny tylko dla użytkownika , ktory ma dostep do zasobu
</div>

<div class="alert alert-primary" sec:authentication="name">
    Tutaj powinna wyswietlic sie nazwa uzytkownika
</div>

<div class="alert alert-primary" sec:authentication="principal.authorities">
    Tutaj powinny wyswietlic sie role uzytkownika
</div>

Extra do APIKey:

• rozszerz APIKey o rolę - pojedynczą (ADMIN, USER)
• zmapuj rolę na GrantedAuthority która trafia do UsernamePasswordAuthenticationToken
• w SecurityFIlterChain dodaj POST /organizations tylko dla ADMIN

Ściągawka:
.requestMatchers("/organizations/{organizationId}/**").access(new WebExpressionAuthorizationManager("hasRole('ROOT') or @securityService.canAccessOrganization(#organizationId)”))
albo
requestMatchers(.....).hasAuthority()