如何精简配置Spring Security：允许所有人GET /product，限制其他方法需角色

需求与疑问 #

• 需求：允许所有用户对/product路径发起GET请求；POST、DELETE等其他HTTP方法则要求用户拥有admin或user角色。
• 疑问：是否存在无需逐个指定HTTP方法的简洁实现方式？

原始实现（需逐个指定方法） #

authorizeConfig.requestMatchers(HttpMethod.GET,"/product").permitAll();
authorizeConfig.requestMatchers(HttpMethod.POST,"/product").hasAnyRole("admin", "user");
authorizeConfig.requestMatchers(HttpMethod.DELETE,"/product").hasAnyRole("admin", "user");

优化实现（无需逐个列方法） #

利用Spring Security规则按顺序匹配、优先生效的特性，仅需两行代码即可实现需求：

// 先放行所有GET /product请求
authorizeConfig.requestMatchers(HttpMethod.GET, "/product").permitAll();
// 其余所有针对/product的请求（非GET方法）要求admin或user角色
authorizeConfig.requestMatchers("/product").hasAnyRole("admin", "user");

修改后的完整SecurityFilterChain代码 #

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
            .authorizeHttpRequests(
                    authorizeConfig -> {
                        authorizeConfig.requestMatchers("/").permitAll();
                        // 放行GET请求
                        authorizeConfig.requestMatchers(HttpMethod.GET, "/product").permitAll();
                        // 限制/product路径的其他所有方法
                        authorizeConfig.requestMatchers("/product").hasAnyRole("admin", "user");
                        authorizeConfig.requestMatchers("/protected").hasRole("admin");
                        authorizeConfig.requestMatchers("/userinfo").hasRole("user");
                        authorizeConfig.anyRequest().authenticated();
                    })
            .oauth2Login(Customizer.withDefaults())
            .oauth2ResourceServer(config -> {
                config.jwt(Customizer.withDefaults());
            })
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .build();
}

补充说明 #

• 规则顺序至关重要：必须先配置GET /product的放行规则，再配置/product的通用权限规则，否则GET请求会被后续的权限规则拦截。
• 如果需要精准指定某些方法（而非所有非GET方法），也可以直接传入方法数组：

  authorizeConfig.requestMatchers(HttpMethod.POST, HttpMethod.DELETE, "/product").hasAnyRole("admin", "user");
  

  但这种方式灵活性较低，新增方法时需手动更新代码。

内容的提问来源于stack exchange，提问作者PauloRamos