【Spring MVC + Spring Security】認可設定（アクセス制御）を行う方法

概要

特定のURLに対して認可ポリシーを定義して、アクセス制御を行う方法についてまとめた。

前提

以下の記事の続きとなる。

認可ポリシー

認可ポリシーとは、「誰がどのリソースにアクセスできるか」を決めるルールのこと。
アクセスの可否はユーザーに割り当てられた「ロール」や「権限」によって決まる。

したがって、このルールを定義するには両者を理解しておく必要がある。

ロール

「ロール」とは、ユーザーの役割のこと。

例えば、以下のような「ロール」を定義してユーザーに付与できる。
「ロール」ごとに操作範囲が制限されており、他の「ロール」の操作はできない。

権限

「権限」とは、ユーザーが保持する「操作権限」のこと。
フォルダのアクセス制御のように、CRUD操作に関する権限のようなイメージ。

例えば、以下のような「権限」を定義してユーザーに付与できる。
「権限」ごとに操作範囲が制限されており、他の「権限」の操作はできない。

アーキテクチャ

Spring Securityにて認可処理を行う場合、AuthorizationFilterにてアクセス権チェックを行う。

具体的には、認証済みユーザー情報に付与された「ロール」又は「権限」と
特定のURLに対する認可ポリシーを照合してアクセス可能かどうかを判定する。

実装

SecurityFilterChainに認可ポリシーを定義する。

SecurityConfig.java

package com.example.prototype.biz.security.config;

import java.util.Arrays;
import java.util.List;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.MessageSource;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.logout.CompositeLogoutHandler;
import org.springframework.security.web.authentication.logout.LogoutHandler;
import org.springframework.security.web.authentication.logout.SecurityContextLogoutHandler;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;

import com.example.prototype.biz.security.handler.LoginFailureHandler;
import com.example.prototype.biz.security.handler.LoginSuccessHandler;
import com.example.prototype.biz.security.handler.LogoutSuccessHandler;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    private LoginSuccessHandler loginSuccessHandler;

    @Autowired
    private LoginFailureHandler loginFailureHandler;

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    
    @Bean
    public UserDetailsService userDetailsService(PasswordEncoder encoder) {
        UserDetails disabledUser = User.withUsername("user")
            .password(encoder.encode("password"))
            .roles("USER")
            .build();
        
        return new InMemoryUserDetailsManager(disabledUser);
    }
    
    @Bean
    public DaoAuthenticationProvider authenticationProvider(MessageSource messageSource,
            PasswordEncoder passwordEncoder) {
        var provider = new DaoAuthenticationProvider();
        provider.setUserDetailsService(userDetailsService(passwordEncoder));
        provider.setPasswordEncoder(passwordEncoder);
        provider.setMessageSource(messageSource);
        return provider;
    }
    
    @Bean
    public LogoutHandler compositeLogoutHandler() {
        List<LogoutHandler> handlers = Arrays.asList(
                new SecurityContextLogoutHandler(),
                new LogoutSuccessHandler()
            );

        return new CompositeLogoutHandler(handlers);
    }
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                // CSRF機能を無効
                .csrf(csrf -> csrf.disable())

                // 認可ポリシー定義
                .authorizeHttpRequests(auth -> auth
                        // 認証不要のURL
                        .requestMatchers(
                                new AntPathRequestMatcher("/authentication"),
                                new AntPathRequestMatcher("/logout")
                                ).permitAll()

                        // ロールベースの認可
                        .requestMatchers(new AntPathRequestMatcher("/user/**")).hasAnyRole("USER", "ADMIN")
                        .requestMatchers(new AntPathRequestMatcher("/admin/**")).hasRole("ADMIN")

                        // 権限ベースの認可
                        .requestMatchers(new AntPathRequestMatcher("/report/list")).hasAuthority("READ_PRIVILEGE")
                        .requestMatchers(new AntPathRequestMatcher("/user/delete")).hasAuthority("DELETE_PRIVILEGE")

                        // その他は認証済みなら許可
                        .anyRequest().authenticated())
                
                // ログイン機能定義
                .formLogin(form -> form
                        .loginPage("/authentication")
                        .loginProcessingUrl("/authentication/process")
                        .usernameParameter("loginId")
                        .passwordParameter("pass")
                        .successHandler(loginSuccessHandler)
                        .failureHandler(loginFailureHandler))

                // ログアウト機能定義
                .logout(logout -> logout
                        .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                        .addLogoutHandler(compositeLogoutHandler())
                        .logoutSuccessUrl("/authentication?logout=true")
                );


        return http.build();
    }
}

HTTPリクエストに対する認可ポリシーを構成するためのメソッド。
SecurityFilterChainの中に、AuthorizationFilterなどの認可に必要なフィルター群が組み込まれる。

認可ポリシーは、基本的に「URLパターン」＋「認可ポリシーメソッド」で構成する。
URLパターンが複数存在する場合、上から順次判定される。

各ルールの意味は以下のようになる。

「ロール」を”USER”や”ADMIN”と記述した場合、内部的に”ROLE_”というプレフィックスが自動で付加される。
そのため、実際のロール名は”ROLE_USER”や”ROLE_ADMIN”となる。

一方で、「権限」についてはプレフィックスの自動付加は行われず、
指定した権限名そのもの（例：”DELETE_PRIVILEGE”）で判定される。

補足

認可ポリシーのメソッドには以下のような種類がある。

まとめ