基于Sonata路径校验用户身份认证，拦截未登录用户URL文件访问

当然可以搞定这个权限校验需求！针对你“未登录用户无法通过URL查看文件”的诉求，我们可以基于你现有的访问控制规则调整优化，下面是具体的步骤和建议：

一、先分析现有配置的潜在问题 #

看你给出的规则，已经包含了{ path: ^/uploads/media, role: IS_AUTHENTICATED_FULLY }，这条规则本意是要求用户完全认证才能访问文件路径，但可能存在几个需要调整的点：

1. 规则顺序优先级：权限规则是按匹配顺序生效的，如果你启用了注释掉的^/.*通配规则，它会匹配所有路径，导致前面的/uploads/media规则被覆盖。所以要么保持这条通配规则注释，要么必须把它放在所有特定路径规则的最后。

2. 路径匹配的完整性：当前的^/uploads/media正则只会匹配以/uploads/media开头的路径，但如果文件存在子目录（比如/uploads/media/2024/photo.jpg），这个正则可能匹配不完整，建议调整为^/uploads/media/.*来覆盖所有子路径。

3. 静态资源的绕过风险：如果你的Web服务器（比如Nginx、Apache）直接处理/uploads/media目录的静态请求，那么应用层的权限规则会被绕过——因为请求根本没到达你的应用程序。这是很多人容易忽略的点。

二、具体调整方案 #

1. 修正权限规则顺序和匹配范围 #

调整后的规则应该把更具体的路径放在前面，确保/uploads/media的规则能优先匹配：

- { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/register, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/logout$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/login-check$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/rlsh/dashboard, role: IS_AUTHENTICATED_FULLY }
- { path: ^/admin/, role: [ROLE_USER] }
- { path: ^/uploads/media/.*, role: IS_AUTHENTICATED_FULLY }
- { path: ^/profile/, role: IS_AUTHENTICATED_FULLY }
- { path: ^/shop/basket/step/, role: IS_AUTHENTICATED_FULLY }
- { path: ^/shop/user/, role: IS_AUTHENTICATED_FULLY }
# 若启用通配规则，必须放在最后
# - { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }

2. 确保Web服务器不绕过应用权限校验 #

如果你的Web服务器之前直接处理/uploads/media的静态请求，需要修改配置，让请求先转发到你的应用进行权限校验。以Nginx为例：

location /uploads/media {
    proxy_pass http://your-application-server; # 替换成你的应用地址
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    # 其他必要的代理配置
}

3. （可选）添加业务层的双重校验 #

为了更安全，你可以在文件访问的处理逻辑中额外校验用户权限，比如确认文件是否属于当前用户（如果有归属关系）：

// 以Spring环境为例的示例代码
@GetMapping("/uploads/media/{filename}")
public ResponseEntity<Resource> getMediaFile(@PathVariable String filename, Authentication auth) {
    // 二次校验用户是否已登录
    if (auth == null || !auth.isAuthenticated()) {
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
    }
    // 校验文件是否归当前用户所有
    boolean hasPermission = fileService.isFileOwnedByUser(filename, auth.getName());
    if (!hasPermission) {
        return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
    }
    // 返回文件资源
    Resource fileResource = fileService.loadFile(filename);
    return ResponseEntity.ok()
            .contentType(MediaType.APPLICATION_OCTET_STREAM)
            .body(fileResource);
}

三、效果验证 #

完成上述调整后，未登录用户直接访问文件URL时，会被系统拦截，要么重定向到登录页面，要么返回401 Unauthorized状态，无法直接查看文件，完全满足你的需求。

内容的提问来源于stack exchange，提问作者karim