含路径变量时如何配置Spring Security的requestMatchers()

在Spring Security 6.x（结合你使用的6.5.1版本）中，带路径变量的requestMatchers()配置完全支持你当前的写法，且逻辑是生效的。以下是具体说明和扩展方案：

1. 基础路径变量匹配（当前写法的有效性） #

你给出的两种场景配置是正确的：

• 场景1中，/foo/{foo_id}/bars的{foo_id}会匹配任意路径段（比如/foo/1001/bars、/foo/user123/bars），只要请求方法是GET，且用户拥有SUPER_HERO或KNIGHT角色就可访问。

  .requestMatchers(GET, "/foo/{foo_id}/bars").hasAnyRole(SUPER_HERO.name(), KNIGHT.name())
  

• 场景2中，/foo/{foo_id}/baas/{bar_id}的两个路径变量同样匹配任意值，仅允许拥有SUPER_HERO角色的用户通过POST方法访问。

  .requestMatchers(POST, "/foo/{foo_id}/baas/{bar_id}").hasAnyRole(SUPER_HERO.name())
  

这种写法和Spring MVC的路径匹配逻辑完全一致，Spring Security会自动识别路径变量占位符。

2. 精确匹配路径变量格式（可选） #

如果需要限制路径变量的格式（比如要求foo_id必须是数字），可以在占位符后添加正则表达式：

// 仅匹配foo_id为数字的请求
.requestMatchers(GET, "/foo/{foo_id:\\d+}/bars").hasAnyRole(SUPER_HERO.name(), KNIGHT.name())

注意：Java字符串中需要用双反斜杠\\来转义正则中的特殊字符。

3. 基于路径变量值的细粒度权限控制（进阶） #

如果要根据路径变量的具体值做权限判断（比如特定ID仅允许管理员访问），单纯的requestMatchers无法满足，可采用以下两种方式：

• 方法级安全注解：在Controller方法上使用@PreAuthorize，直接结合路径变量做判断：

  @GetMapping("/foo/{foo_id}/bars")
  @PreAuthorize("hasAnyRole('SUPER_HERO', 'KNIGHT') or #foo_id == 'admin_foo'")
  public ResponseEntity<List<Bar>> getBars(@PathVariable String foo_id) {
      // 业务逻辑实现
  }
  

• 自定义AuthorizationManager：如果需要全局生效的规则，可以实现自定义的权限管理器，解析路径变量后做权限校验，适合复杂的全局权限逻辑。

内容的提问来源于stack exchange，提问作者Đỗ Như Vỹ