spring boot admin server添加安全配置

安全配置接入

这里通过spring security安全框架来实现，引入如下依赖：

<dependency>
       <groupId>org.springframework.boot</groupId>
       <artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后在yml配置文件中，添加上默认用户，如下：

spring:
  security:
    user:
      name: admin
      password: admin

为什么直接使用默认用户，固定的，而不是像正常的系统那样读数据库用户表，个人选择这样的做法是，第一没有做admin-server更细的权限划分，哪怕有多个用户，权限也是一样的，那还有必要多用户么？第二，如果要求这个监控服务要用系统的用户数据来做登录，那么就学习下spring security的使用，扩展下即可实现数据源登录的 *** 作，第三，如果要求和原有系统做类似单点的功能，作为菜单嵌入在原系统中，那么建议再跳转时，携带token，然后admin-server项目加个拦截器，获取token，然后采用和原系统一样的校验规则，通过说明原系统已经登录了，那么就直接放行，否则重定向到原系统登录页，这种方案此时都不需要维护用户了，只要校验token就好，我反正没做这么复杂，能够保证简单安全即可，如果有朋友需要做这么复杂的话，可以参考下2，3方案的思路。

先增加spring security相关的配置文件，如下：

@EnableWebSecurity
@Configuration(proxyBeanMethods = false)
public class SecuritySecureConfig extends WebSecurityConfigurerAdapter {
    private final String adminContextPath;

    public SecuritySecureConfig(AdminServerProperties adminServerProperties) {
        this.adminContextPath = adminServerProperties.getContextPath();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        SavedRequestAwareAuthenticationSuccessHandler successHandler = new SavedRequestAwareAuthenticationSuccessHandler();
        successHandler.setTargetUrlParameter("redirectTo");
        successHandler.setDefaultTargetUrl(adminContextPath + "/");

        http.authorizeRequests()
                .antMatchers(adminContextPath + "/assets/**").permitAll()
                .antMatchers(adminContextPath + "/login").permitAll()
                .antMatchers(adminContextPath + "/instances/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin().loginPage(adminContextPath + "/login").successHandler(successHandler).and()
                .logout().logoutUrl(adminContextPath + "/logout").and()
                .httpBasic().and()
                .csrf()
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .ignoringAntMatchers(
                        adminContextPath + "/instances",
                        adminContextPath + "/actuator/**"
                );
    }
}

启动admin-server服务，访问页面，此时就会需要先登录了，如下：

问题出现

输入admin/admin后，查看信息，发现一同注册到nacos的服务demo能够正常展示信息，而admin-server服务却不行，如下：

点击进去查看原因，如下：

很明显是401，未认证错误，照理说我们都登录了。
而实际报401的接口是下面这个：

这个接口出问题，导致后续的数据都出不来了。

解决方案

这个接口出问题，这个接口很明显是单独查询某个实例的健康状态的，从30d25be46cc9这个ID就能知道了，做的是单个查询，此时这个接口出不来数据，报401，我并不想去看spring security的源代码，研究为啥都登录了但是还是报401，换个解决思路，我如果把这个接口放行，会不安全么，我感觉是不会的，为啥，因为这个接口得有个ID啊，ID谁知道，而且想知道这个id就得先访问如下接口：

这个接口我们又没放行，那就只有登录后才能访问这个接口拿到具体id，问题是你都能登录了，我还担心这个接口对你放行安不安全么，所以这种带着id的接口放行没关系，因为id不是规则的，猜不了，就能保证这个接口的安全了，但是可能防止不了一直刷这个接口，但是我们做安全是为了防止信息泄漏，一直刷接口的事，要做也不会针对这个监控服务啊，无利可图，就算监控服务给刷蹦了，也不影响主业务，所以无妨。
所以修改下spring security相关的配置文件，增加如下配置：

重启后，发现admin-server正常了，如下：

现在我准备直接访问开放的实例健康接口，如下：

结果如下：

依旧还是需要登录。

所以最坏的情况是想到id不可预测，开放也没事，现在测试后，发现即使开放了，依旧有登录校验，连id真的泄漏或被猜到的情况都不用考虑了，当然了，安全这块了解的很少，这篇只是做个安全配置的做法和问题解决的分享，仅做参考！