パッケージ org.springframework.security.config.annotation.web.builders

クラス HttpSecurity

java.lang.ObjectSE
org.springframework.security.config.annotation.AbstractSecurityBuilder<O>
org.springframework.security.config.annotation.AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain,HttpSecurity>
org.springframework.security.config.annotation.web.builders.HttpSecurity
実装されているすべてのインターフェース:
SecurityBuilder<DefaultSecurityFilterChain>, HttpSecurityBuilder<HttpSecurity>
public final class HttpSecurity extends AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain,HttpSecurity> implements SecurityBuilder<DefaultSecurityFilterChain>, HttpSecurityBuilder<HttpSecurity>
HttpSecurity は、名前空間構成における Spring Security の XML <http> 要素に似ています。特定の http リクエストに対して Web ベースのセキュリティを構成できます。デフォルトでは、すべてのリクエストに適用されますが、authorizeHttpRequests(Customizer) または他の同様の方法を使用して制限できます。

使用例

最も基本的なフォームベースの構成を以下に示します。この構成では、リクエストされる URL には、ロール "ROLE_USER" を持つユーザーが必要であることが必要です。また、ユーザー名 "user"、パスワード "password"、ロール "ROLE_USER" を持つユーザーを使用して、メモリ内認証スキームを定義します。追加の例については、HttpSecurity の個々のメソッドの Java Doc を参照してください。
 @Configuration
 @EnableWebSecurity
 public class FormLoginSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
導入:
3.2
関連事項:

  • コンストラクターの詳細

  • メソッドの詳細

    • headers

      public HttpSecurity headers(Customizer<HeadersConfigurer<HttpSecurity>> headersCustomizer)
      セキュリティヘッダーをレスポンスに追加します。EnableWebSecurity を使用する場合、これはデフォルトで有効になります。

      構成例

      EnableWebSecurity によって提供されるデフォルトを受け入れるか、headers(Customizer) で追加のメソッドを呼び出さずに headers(Customizer) のみを呼び出すことは、以下と同等です。
       @Configuration
 @EnableWebSecurity
 public class CsrfSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .headers((headers) ->
                                headers
                                        .contentTypeOptions(withDefaults())
                                        .xssProtection(withDefaults())
                                        .cacheControl(withDefaults())
                                        .httpStrictTransportSecurity(withDefaults())
                                        .frameOptions(withDefaults()
                        );
                return http.build();
        }
 }
      次を使用してヘッダーを無効にできます。
       @Configuration
 @EnableWebSecurity
 public class CsrfSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .headers((headers) -> headers.disable());
                return http.build();
        }
 }
      最初に HeadersConfigurer.defaultsDisabled() を呼び出し、次に headers(Customizer) の結果に対して適切なメソッドを呼び出すことにより、いくつかのヘッダーのみを有効にできます。例: 以下は、HeadersConfigurer.cacheControl(Customizer) および HeadersConfigurer.frameOptions(Customizer) のみを有効にします。
       @Configuration
 @EnableWebSecurity
 public class CsrfSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .headers((headers) ->
                                headers
                                        .defaultsDisabled()
                                        .cacheControl(withDefaults())
                                        .frameOptions(withDefaults())
                        );
                return http.build();
        }
 }
      また、デフォルトのままにして、ヘッダーのサブセットを明示的に無効にすることもできます。例: 以下は、HeadersConfigurer.frameOptions(Customizer) を除くすべてのデフォルトヘッダーを有効にします。
       @Configuration
 @EnableWebSecurity
 public class CsrfSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
        http
                .headers((headers) ->
                        headers
                                .frameOptions((frameOptions) -> frameOptions.disable())
                );
                return http.build();
        }
 }
      パラメーター:
      headersCustomizer - Customizer を使用して、HeadersConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • cors

      public HttpSecurity cors(Customizer<CorsConfigurer<HttpSecurity>> corsCustomizer)
      使用する CorsFilter を追加します。corsFilter という名前の Bean が指定されている場合は、その CorsFilter が使用されます。そうでない場合、corsConfigurationSource が定義されている場合は、その CorsConfiguration が使用されます。CORS を有効にするには、以下を使用します。
       @Configuration
 @EnableWebSecurity
 public class CorsSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .cors(withDefaults());
                return http.build();
        }
 }
      パラメーター:
      corsCustomizer - Customizer を使用して、CorsConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • sessionManagement

      public HttpSecurity sessionManagement(Customizer<SessionManagementConfigurer<HttpSecurity>> sessionManagementCustomizer)
      セッション管理の構成を許可します。

      構成例

      次の構成は、ユーザーの 1 つのインスタンスのみが一度に認証されるように強制する方法を示しています。ユーザーがログアウトせずにユーザー名 "user" で認証し、"user" で認証を試みると、最初のセッションが強制的に終了し、"/login?expired" URL に送信されます。
       @Configuration
 @EnableWebSecurity
 public class SessionManagementSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .anyRequest().hasRole("USER")
                        )
                        .formLogin((formLogin) ->
                                formLogin
                                        .permitAll()
                        )
                        .sessionManagement((sessionManagement) ->
                                sessionManagement
                                        .sessionConcurrency((sessionConcurrency) ->
                                                sessionConcurrency
                                                        .maximumSessions(1)
                                                        .expiredUrl("/login?expired")
                                        )
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      SessionManagementConfigurer.maximumSessions(int) を使用する場合、期限切れのセッションが確実にクリーンアップされるように、アプリケーションの HttpSessionEventPublisher を構成することを忘れないでください。web.xml では、次を使用してこれを構成できます。
       <listener>
      <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
 </listener>
      または、AbstractSecurityWebApplicationInitializer.enableHttpSessionEventPublisher() は true を返す可能性があります。
      パラメーター:
      sessionManagementCustomizer - Customizer を使用して、SessionManagementConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • portMapper

      public HttpSecurity portMapper(Customizer<PortMapperConfigurer<HttpSecurity>> portMapperCustomizer)
      AbstractConfiguredSecurityBuilder.getSharedObject(Class) から利用可能な PortMapper を設定できます。提供されている他の SecurityConfigurer オブジェクトは、HTTP から HTTPS へ、または HTTPS から HTTP へリダイレクトする際に、この設定された PortMapper をデフォルトの PortMapper として使用します（たとえば、requiresChannel(Customizer) と組み合わせて使用する場合）。デフォルトでは、Spring Security は HTTP ポート 8080 を HTTPS ポート 8443 に、HTTP ポート 80 を HTTPS ポート 443 にマッピングする PortMapperImpl を使用します。

      構成例

      次の設定により、Spring Security 内のポート 9090 の HTTP からのリダイレクトが HTTPS ポート 9443 にリダイレクトされ、HTTP ポート 80 が HTTPS ポート 443 にリダイレクトされます。
       @Configuration
 @EnableWebSecurity
 public class PortMapperSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .requiresChannel((requiresChannel) ->
                                requiresChannel
                                        .anyRequest().requiresSecure()
                        )
                        .portMapper((portMapper) ->
                                portMapper
                                        .http(9090).mapsTo(9443)
                                        .http(80).mapsTo(443)
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      portMapperCustomizer - Customizer を使用して、PortMapperConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • jee

      public HttpSecurity jee(Customizer<JeeConfigurer<HttpSecurity>> jeeCustomizer)
      コンテナーベースの事前認証を構成します。この場合、認証はサーブレットコンテナーによって管理されます。

      構成例

      次の構成では、HttpServletRequest にあるプリンシパルを使用し、ユーザーがロール "ROLE_USER" または "ROLE_ADMIN" にある場合、結果の Authentication にそれを追加します。
       @Configuration
 @EnableWebSecurity
 public class JeeSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .jee((jee) ->
                                jee
                                        .mappableRoles("USER", "ADMIN")
                        );
                return http.build();
        }
 }
      コンテナーで事前認証を使用したい開発者は、web.xml がセキュリティ制約を構成していることを確認する必要があります。例: web.xml（サーブレット仕様でサポートされる同等の Java ベースの構成はありません）は次のようになります。
       <login-config>
     <auth-method>FORM</auth-method>
     <form-login-config>
         <form-login-page>/login</form-login-page>
         <form-error-page>/login?error</form-error-page>
     </form-login-config>
 </login-config>

 <security-role>
     <role-name>ROLE_USER</role-name>
 </security-role>
 <security-constraint>
     <web-resource-collection>
     <web-resource-name>Public</web-resource-name>
         <description>Matches unconstrained pages</description>
         <url-pattern>/login</url-pattern>
         <url-pattern>/logout</url-pattern>
         <url-pattern>/resources/*</url-pattern>
     </web-resource-collection>
 </security-constraint>
 <security-constraint>
     <web-resource-collection>
         <web-resource-name>Secured Areas</web-resource-name>
         <url-pattern>/*</url-pattern>
     </web-resource-collection>
     <auth-constraint>
         <role-name>ROLE_USER</role-name>
     </auth-constraint>
 </security-constraint>
      最後に、適切なロールを持つユーザーを含めるようにコンテナーを構成する必要があります。この構成はサーブレットコンテナーに固有なので、サーブレットコンテナーのドキュメントを参照してください。
      パラメーター:
      jeeCustomizer - Customizer を使用して、JeeConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • x509

      public HttpSecurity x509(Customizer<X509Configurer<HttpSecurity>> x509Customizer)
      X509 ベースの事前認証を設定します。

      構成例

      次の構成では、X509 証明書からユーザー名を抽出しようとします。これが機能するためには、サーブレットコンテナーがクライアント証明書をリクエストするように構成されている必要があることに注意してください。
       @Configuration
 @EnableWebSecurity
 public class X509SecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .x509(withDefaults());
                return http.build();
        }
 }
      パラメーター:
      x509Customizer - Customizer を使用して、X509Configurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • rememberMe

      public HttpSecurity rememberMe(Customizer<RememberMeConfigurer<HttpSecurity>> rememberMeCustomizer)
      Remember Me 認証の構成を許可します。

      構成例

      次の構成は、トークンベースの認証を記憶できるようにする方法を示しています。"remember-me" という名前の HTTP パラメーターが存在するかどうかを認証すると、HttpSession の有効期限が切れた後でもユーザーは記憶されます。
       @Configuration
 @EnableWebSecurity
 public class RememberMeSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults())
                        .rememberMe(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      rememberMeCustomizer - Customizer を使用して、RememberMeConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • authorizeHttpRequests

      public HttpSecurity authorizeHttpRequests(Customizer<AuthorizeHttpRequestsConfigurer<HttpSecurity>.AuthorizationManagerRequestMatcherRegistry> authorizeHttpRequestsCustomizer)
      RequestMatcher 実装を使用して（つまり URL パターン経由で） HttpServletRequest に基づいてアクセスを制限できます。

      構成例

      最も基本的な例は、ロール "ROLE_USER" を要求するようにすべての URL を構成することです。以下の構成では、すべての URL に対する認証が必要であり、ユーザー "admin" と "user" の両方にアクセス権を付与します。
       @Configuration
 @EnableWebSecurity
 public class AuthorizeUrlsSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                UserDetails admin = User.withDefaultPasswordEncoder()
                        .username("admin")
                        .password("password")
                        .roles("ADMIN", "USER")
                        .build();
                return new InMemoryUserDetailsManager(user, admin);
        }
 }
      複数の URL を設定することもできます。以下の構成では、すべての URL に対する認証が必要であり、/admin/ で始まる URL へのアクセスを "admin" ユーザーのみに許可します。いずれかのユーザーがアクセスできる他のすべての URL。
       @Configuration
 @EnableWebSecurity
 public class AuthorizeUrlsSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                        .requestMatchers("/admin/**").hasRole("ADMIN")
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                UserDetails admin = User.withDefaultPasswordEncoder()
                        .username("admin")
                        .password("password")
                        .roles("ADMIN", "USER")
                        .build();
                return new InMemoryUserDetailsManager(user, admin);
        }
 }
      マッチャーは順番に考慮されることに注意してください。最初のマッチャーがすべてのリクエストに一致し、2 番目のマッピングに到達することはないため、以下は無効です。
       @Configuration
 @EnableWebSecurity
 public class AuthorizeUrlsSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                        .requestMatchers("/**").hasRole("USER")
                                        .requestMatchers("/admin/**").hasRole("ADMIN")
                        );
                return http.build();
        }
 }
      パラメーター:
      authorizeHttpRequestsCustomizer - Customizer を使用して、AuthorizeHttpRequestsConfigurer.AuthorizationManagerRequestMatcherRegistry により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      5.5

    • requestCache

      public HttpSecurity requestCache(Customizer<RequestCacheConfigurer<HttpSecurity>> requestCacheCustomizer)
      リクエストキャッシュの設定を許可します。例: 保護されたページ（認証前に /protected) がリクエストされる場合があります。アプリケーションはユーザーをログインページにリダイレクトします。認証後、Spring Security はユーザーを最初にリクエストされた保護されたページ（/protected)）にリダイレクトします。これは EnableWebSecurity を使用するときに自動的に適用されます。

      カスタム構成の例

      次の例は、リクエストのキャッシュを無効にする方法を示しています。
       @Configuration
 @EnableWebSecurity
 public class RequestCacheDisabledSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .requestCache((requestCache) ->
                                requestCache.disable()
                        );
                return http.build();
        }
 }
      パラメーター:
      requestCacheCustomizer - Customizer を使用して、RequestCacheConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • exceptionHandling

      public HttpSecurity exceptionHandling(Customizer<ExceptionHandlingConfigurer<HttpSecurity>> exceptionHandlingCustomizer)
      例外処理を設定できます。これは EnableWebSecurity を使用するときに自動的に適用されます。

      カスタム構成の例

      次のカスタマイズにより、アクセスが拒否されたユーザーが "/errors/access-denied" ページに確実に転送されます。
       @Configuration
 @EnableWebSecurity
 public class ExceptionHandlingSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        // sample exception handling customization
                        .exceptionHandling((exceptionHandling) ->
                                exceptionHandling
                                        .accessDeniedPage("/errors/access-denied")
                        );
                return http.build();
        }
 }
      パラメーター:
      exceptionHandlingCustomizer - Customizer を使用して、ExceptionHandlingConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • securityContext

      public HttpSecurity securityContext(Customizer<SecurityContextConfigurer<HttpSecurity>> securityContextCustomizer)
      HttpServletRequest 間の SecurityContextHolder 上の SecurityContext の管理をセットアップします。これは、EnableWebSecurity を使用するときに自動的に適用されます。次のカスタマイズは、共有 SecurityContextRepository を指定します 
       @Configuration
 @EnableWebSecurity
 public class SecurityContextSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .securityContext((securityContext) ->
                                securityContext
                                        .securityContextRepository(SCR)
                        );
                return http.build();
        }
 }
      パラメーター:
      securityContextCustomizer - Customizer を使用して、SecurityContextConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • servletApi

      public HttpSecurity servletApi(Customizer<ServletApiConfigurer<HttpSecurity>> servletApiCustomizer)
      HttpServletRequest メソッドを SecurityContext にある値と統合します。これは、EnableWebSecurity を使用するときに自動的に適用されます。それを無効にすることができます:
       @Configuration
 @EnableWebSecurity
 public class ServletApiSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .servletApi((servletApi) ->
                                servletApi.disable()
                        );
                return http.build();
        }
 }
      パラメーター:
      servletApiCustomizer - Customizer を使用して、ServletApiConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • csrf

      public HttpSecurity csrf(Customizer<CsrfConfigurer<HttpSecurity>> csrfCustomizer)
      CSRF 保護を有効にします。EnableWebSecurity を使用する場合、これはデフォルトで有効になります。次を使用して無効にできます。
       @Configuration
 @EnableWebSecurity
 public class CsrfSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .csrf((csrf) -> csrf.disable());
                return http.build();
        }
 }
      パラメーター:
      csrfCustomizer - Customizer を使用して、CsrfConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • logout

      public HttpSecurity logout(Customizer<LogoutConfigurer<HttpSecurity>> logoutCustomizer)
      ログアウトサポートを提供します。これは、EnableWebSecurity を使用するときに自動的に適用されます。デフォルトでは、URL "/logout" にアクセスすると、HTTP セッションを無効にし、構成された rememberMe(Customizer) 認証をクリーンアップし、SecurityContextHolder をクリアしてから、"/login?success" にリダイレクトすることでユーザーをログアウトします。

      カスタム構成の例

      URL "/custom-logout" が呼び出されたときにログアウトするための次のカスタマイズ。ログアウトすると、"remove" という名前の Cookie が削除され、HttpSession が無効にならず、SecurityContextHolder がクリアされ、完了時に "/logout-success" にリダイレクトされます。
       @Configuration
 @EnableWebSecurity
 public class LogoutSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults())
                        // sample logout customization
                        .logout((logout) ->
                                logout.deleteCookies("remove")
                                        .invalidateHttpSession(false)
                                        .logoutUrl("/custom-logout")
                                        .logoutSuccessUrl("/logout-success")
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      logoutCustomizer - Customizer を使用して、LogoutConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • anonymous

      public HttpSecurity anonymous(Customizer<AnonymousConfigurer<HttpSecurity>> anonymousCustomizer)
      匿名ユーザーの表現方法を構成できます。これは、EnableWebSecurity と組み合わせて使用すると自動的に適用されます。デフォルトでは、匿名ユーザーは AnonymousAuthenticationToken で表され、ロール "ROLE_ANONYMOUS" が含まれます。

      構成例

      次の構成は、匿名ユーザーが代わりにロール "ROLE_ANON" を含むように指定する方法を示しています。
       @Configuration
 @EnableWebSecurity
 public class AnonymousSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults())
                        // sample anonymous customization
                        .anonymous((anonymous) ->
                                anonymous
                                        .authorities("ROLE_ANON")
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      以下は、匿名ユーザーを null として表す方法を示しています。これにより、匿名認証が有効になっていると想定するコードで NullPointerExceptionSE が発生する可能性があることに注意してください。
       @Configuration
 @EnableWebSecurity
 public class AnonymousSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults())
                        // sample anonymous customization
                        .anonymous((anonymous) ->
                                anonymous.disable()
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      anonymousCustomizer - Customizer を使用して、AnonymousConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • formLogin

      public HttpSecurity formLogin(Customizer<FormLoginConfigurer<HttpSecurity>> formLoginCustomizer)
      フォームベースの認証をサポートすることを指定します。FormLoginConfigurer.loginPage(String) が指定されていない場合、デフォルトのログインページが生成されます。

      構成例

      最も基本的な構成は、デフォルトで URL "/login" にログインページを自動的に生成し、認証の失敗のために "/login?error" にリダイレクトします。ログインページの詳細は FormLoginConfigurer.loginPage(String) にあります。
       @Configuration
 @EnableWebSecurity
 public class FormLoginSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      以下の設定は、デフォルトのカスタマイズを示しています。
       @Configuration
 @EnableWebSecurity
 public class FormLoginSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin((formLogin) ->
                                formLogin
                                        .usernameParameter("username")
                                        .passwordParameter("password")
                                        .loginPage("/authentication/login")
                                        .failureUrl("/authentication/login?failed")
                                        .loginProcessingUrl("/authentication/login/process")
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      formLoginCustomizer - Customizer を使用して、FormLoginConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • saml2Login

      public HttpSecurity saml2Login(Customizer<Saml2LoginConfigurer<HttpSecurity>> saml2LoginCustomizer)
      SAML 2.0 サービスプロバイダーを使用して認証サポートを設定します。

      「認証フロー」は、SAML V2.0 コア、プロファイル、バインディング仕様に記載されているように、POST および REDIRECT バインディングを使用して、Web ブラウザー SSO プロファイルを使用して実装されます。

      この機能を使用するための前提条件として、アサーションを提供するための SAML v2.0 ID プロバイダーがあることが必要です。サービスプロバイダー、依存パーティ、リモート ID プロバイダー、アサーティングパーティの表現は RelyingPartyRegistration に含まれています。

      RelyingPartyRegistration は RelyingPartyRegistrationRepository 内で構成されます。これは必須であり、ApplicationContext に登録するか、saml2Login().relyingPartyRegistrationRepository(..) を介して構成する必要があります。

      デフォルトの構成では、"/login" で自動生成されたログインページが提供され、認証エラーが発生すると "/login?error" にリダイレクトされます。ログインページには、「認証フロー」を開始できるリンクを備えた各 ID プロバイダーが表示されます。

      構成例

      次の例は、SimpleSamlPhp を認証プロバイダーとして使用して、必要な最小限の構成を示しています。
       @Configuration
 @EnableWebSecurity
 public class Saml2LoginSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .anyRequest().authenticated()
                        )
                        .saml2Login(withDefaults());
                return http.build();
        }

        @Bean
        public RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {
                return new InMemoryRelyingPartyRegistrationRepository(this.getSaml2RelyingPartyRegistration());
        }

        private RelyingPartyRegistration getSaml2RelyingPartyRegistration() {
                //remote IDP entity ID
                String idpEntityId = "https://simplesaml-for-spring-saml.apps.pcfone.io/saml2/idp/metadata.php";
                //remote WebSSO Endpoint - Where to Send AuthNRequests to
                String webSsoEndpoint = "https://simplesaml-for-spring-saml.apps.pcfone.io/saml2/idp/SSOService.php";
                //local registration ID
                String registrationId = "simplesamlphp";
                //local entity ID - autogenerated based on URL
                String localEntityIdTemplate = "{baseUrl}/saml2/service-provider-metadata/{registrationId}";
                //local signing (and decryption key)
                Saml2X509Credential signingCredential = getSigningCredential();
                //IDP certificate for verification of incoming messages
                Saml2X509Credential idpVerificationCertificate = getVerificationCertificate();
                return RelyingPartyRegistration.withRegistrationId(registrationId)
                                .remoteIdpEntityId(idpEntityId)
                                .idpWebSsoUrl(webSsoEndpoint)
                                .credential(signingCredential)
                                .credential(idpVerificationCertificate)
                                .localEntityIdTemplate(localEntityIdTemplate)
                                .build();
        }
 }

      パラメーター:
      saml2LoginCustomizer - Customizer を使用して、Saml2LoginConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      5.2

    • saml2Logout

      public HttpSecurity saml2Logout(Customizer<Saml2LogoutConfigurer<HttpSecurity>> saml2LogoutCustomizer)
      SAML 2.0 証明書利用者のログアウトサポートを設定します。

      SAML V2.0 コア、プロファイル、バインディング仕様に記載されているように、POST および REDIRECT バインディングを使用して、シングルログアウトプロファイルを実装します。

      この機能を使用するための前提条件として、ログアウトリクエストを送信する SAMLv2.0 アサーティングパーティがあることです。証明書利用者と主張者の表現は RelyingPartyRegistration に含まれています。

      RelyingPartyRegistration は RelyingPartyRegistrationRepository 内で構成されます。これは必須であり、ApplicationContext に登録するか、saml2Login(Customizer) を介して構成する必要があります。

      デフォルト設定では、"/logout" で自動生成されたログアウトエンドポイントが提供され、ログアウトが完了すると /login?logout にリダイレクトされます。

      構成例

      次の例は、架空のアサートパーティを使用して、必要な最小限の構成を示しています。
              @EnableWebSecurity
        @Configuration
        public class Saml2LogoutSecurityConfig {
                @Bean
                public SecurityFilterChain web(HttpSecurity http)  {
                        http
                                .authorizeHttpRequests((authorize) -> authorize
                                        .anyRequest().authenticated()
                                )
                                .saml2Login(withDefaults())
                                .saml2Logout(withDefaults());
                        return http.build();
                }

                @Bean
                public RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {
                        RelyingPartyRegistration registration = RelyingPartyRegistrations
                                        .withMetadataLocation("https://ap.example.org/metadata")
                                        .registrationId("simple")
                                        .build();
                        return new InMemoryRelyingPartyRegistrationRepository(registration);
                }
        }

      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      5.6

    • saml2Metadata

      public HttpSecurity saml2Metadata(Customizer<Saml2MetadataConfigurer<HttpSecurity>> saml2MetadataConfigurer)
      <md:EntityDescriptor> ペイロードで証明書利用者の構成を示す SAML 2.0 メタデータエンドポイントを構成します。

      デフォルトでは、エンドポイントは /saml2/metadata および /saml2/metadata/{registrationId} ですが、下位互換性の目的で /saml2/service-provider-metadata/{registrationId} も認識されることに注意してください。

      構成例

      次の例は、架空のアサートパーティを使用して、必要な最小限の構成を示しています。
              @EnableWebSecurity
        @Configuration
        public class Saml2LogoutSecurityConfig {
                @Bean
                public SecurityFilterChain web(HttpSecurity http)  {
                        http
                                .authorizeHttpRequests((authorize) -> authorize.anyRequest().authenticated())
                                .saml2Metadata(Customizer.withDefaults());
                        return http.build();
                }

                @Bean
                public RelyingPartyRegistrationRepository relyingPartyRegistrationRepository() {
                        RelyingPartyRegistration registration = RelyingPartyRegistrations
                                        .withMetadataLocation("https://ap.example.org/metadata")
                                        .registrationId("simple")
                                        .build();
                        return new InMemoryRelyingPartyRegistrationRepository(registration);
                }
        }
      パラメーター:
      saml2MetadataConfigurer - Customizer を使用して、Saml2MetadataConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      6.1

    • oauth2Login

      public HttpSecurity oauth2Login(Customizer<OAuth2LoginConfigurer<HttpSecurity>> oauth2LoginCustomizer)
      OAuth 2.0 や OpenID Connect 1.0 プロバイダーを使用して認証サポートを設定します。

      「認証フロー」は、OAuth 2.0 認証フレームワークおよび OpenID Connect コア 1.0 仕様で指定されているように、Authorization Code Grant を使用して実装されます。

      この機能を使用するための前提条件として、クライアントをプロバイダーに登録する必要があります。クライアント登録情報は、ClientRegistration.Builder を使用して ClientRegistration を構成するために使用できます。

      ClientRegistration は ClientRegistrationRepository 内で構成されます。これは必須であり、ApplicationContext に登録するか、oauth2Login().clientRegistrationRepository(..) を介して構成する必要があります。

      デフォルトの構成では、"/login" で自動生成されたログインページが提供され、認証エラーが発生すると "/login?error" にリダイレクトされます。ログインページには、「認証フロー」を開始できるリンクを持つ各クライアントが表示されます。

      構成例

      次の例は、Google を認証プロバイダーとして使用して、必要な最小限の構成を示しています。
       @Configuration
 @EnableWebSecurity
 public class OAuth2LoginSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .anyRequest().authenticated()
                        )
                        .oauth2Login(withDefaults());
                return http.build();
        }

        @Bean
        public ClientRegistrationRepository clientRegistrationRepository() {
                return new InMemoryClientRegistrationRepository(this.googleClientRegistration());
        }

        private ClientRegistration googleClientRegistration() {
                return ClientRegistration.withRegistrationId("google")
                        .clientId("google-client-id")
                        .clientSecret("google-client-secret")
                        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
                        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
                        .redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
                        .scope("openid", "profile", "email", "address", "phone")
                        .authorizationUri("https://accounts.google.com/o/oauth2/v2/auth")
                        .tokenUri("https://www.googleapis.com/oauth2/v4/token")
                        .userInfoUri("https://www.googleapis.com/oauth2/v3/userinfo")
                        .userNameAttributeName(IdTokenClaimNames.SUB)
                        .jwkSetUri("https://www.googleapis.com/oauth2/v3/certs")
                        .clientName("Google")
                        .build();
        }
 }

      より高度な構成については、デフォルトをカスタマイズするために使用可能なオプションについて、OAuth2LoginConfigurer を参照してください。

      パラメーター:
      oauth2LoginCustomizer - Customizer を使用して、OAuth2LoginConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • oidcLogout

      public OidcLogoutConfigurer<HttpSecurity> oidcLogout()

    • oidcLogout

      public HttpSecurity oidcLogout(Customizer<OidcLogoutConfigurer<HttpSecurity>> oidcLogoutCustomizer)

    • oauth2Client

      public HttpSecurity oauth2Client(Customizer<OAuth2ClientConfigurer<HttpSecurity>> oauth2ClientCustomizer)
      OAuth 2.0 クライアントのサポートを構成します。

      構成例

      次の例は、すべてのエンドポイントに対して OAuth 2.0 クライアントサポートを有効にする方法を示しています。
       @Configuration
 @EnableWebSecurity
 public class OAuth2ClientSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .anyRequest().authenticated()
                        )
                        .oauth2Client(withDefaults());
                return http.build();
        }
 }
      パラメーター:
      oauth2ClientCustomizer - Customizer を使用して、OAuth2ClientConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • oauth2ResourceServer

      public HttpSecurity oauth2ResourceServer(Customizer<OAuth2ResourceServerConfigurer<HttpSecurity>> oauth2ResourceServerCustomizer)
      OAuth 2.0 リソースサーバーのサポートを構成します。

      構成例

      次の例は、カスタム JWT 認証コンバーターを構成する方法を示しています。
       @Configuration
 @EnableWebSecurity
 public class OAuth2ResourceServerSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .anyRequest().authenticated()
                        )
                        .oauth2ResourceServer((oauth2ResourceServer) ->
                                oauth2ResourceServer
                                        .jwt((jwt) ->
                                                jwt
                                                        .decoder(jwtDecoder())
                                        )
                        );
                return http.build();
        }

        @Bean
        public JwtDecoder jwtDecoder() {
                return NimbusJwtDecoder.withPublicKey(this.key).build();
        }
 }
      パラメーター:
      oauth2ResourceServerCustomizer - Customizer を使用して、OAuth2ResourceServerConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • oauth2AuthorizationServer

      public HttpSecurity oauth2AuthorizationServer(Customizer<OAuth2AuthorizationServerConfigurer> oauth2AuthorizationServerCustomizer)
      OAuth 2.1 認証サーバーのサポートを構成します。
      パラメーター:
      oauth2AuthorizationServerCustomizer - Customizer は OAuth2AuthorizationServerConfigurer へのアクセスを提供し、さらなるカスタマイズを可能にします
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      7.0
      関連事項:

    • oneTimeTokenLogin

      public HttpSecurity oneTimeTokenLogin(Customizer<OneTimeTokenLoginConfigurer<HttpSecurity>> oneTimeTokenLoginConfigurerCustomizer)
      ワンタイムトークンログインサポートを構成します。

      構成例 

       @Configuration
 @EnableWebSecurity
 public class SecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                        .anyRequest().authenticated()
                        )
                        .oneTimeTokenLogin(Customizer.withDefaults());
                return http.build();
        }

        @Bean
        public OneTimeTokenGenerationSuccessHandler oneTimeTokenGenerationSuccessHandler() {
                return new MyMagicLinkOneTimeTokenGenerationSuccessHandler();
        }

 }
      パラメーター:
      oneTimeTokenLoginConfigurerCustomizer - Customizer を使用して、OneTimeTokenLoginConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • requiresChannel

      @DeprecatedSE public HttpSecurity requiresChannel(Customizer<ChannelSecurityConfigurer<HttpSecurity>.ChannelRequestMatcherRegistry> requiresChannelCustomizer)
      使用すべきではありません。
      redirectToHttps(org.springframework.security.config.Customizer<org.springframework.security.config.annotation.web.configurers.HttpsRedirectConfigurer<org.springframework.security.config.annotation.web.builders.HttpSecurity>>) を使用
      チャネルセキュリティを設定します。この構成を有効にするには、必要なチャネルへの少なくとも 1 つのマッピングを提供する必要があります。

      構成例

      以下の例は、すべてのリクエストに HTTP をリクエストする方法を示しています。一部のリクエストに対して HTTPS のみをリクエストすることはサポートされていますが、HTTP を許可するアプリケーションは多くのセキュリティの脆弱性をもたらすため、推奨されません。そのような例の 1 つとして、Firesheep について参照してください。
       @Configuration
 @EnableWebSecurity
 public class ChannelSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .formLogin(withDefaults())
                        .requiresChannel((requiresChannel) ->
                                requiresChannel
                                        .anyRequest().requiresSecure()
                        );
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      requiresChannelCustomizer - Customizer を使用して、ChannelSecurityConfigurer.ChannelRequestMatcherRegistry により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • redirectToHttps

      public HttpSecurity redirectToHttps(Customizer<HttpsRedirectConfigurer<HttpSecurity>> httpsRedirectConfigurerCustomizer)
      チャネルセキュリティを設定します。この構成を有効にするには、必要なチャネルへの少なくとも 1 つのマッピングを提供する必要があります。

      構成例

      以下の例は、すべてのリクエストに対して HTTPS をリクエストする方法を示しています。ローカルデプロイと本番 デプロイを区別する必要がある場合など、一部のリクエストに対してのみ HTTPS をリクエストすることがサポートされています。
       @Configuration
 @EnableWebSecurity
 public class RequireHttpsConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorize) -> authorize
                                anyRequest().authenticated()
                        )
                        .formLogin(withDefaults())
                        .redirectToHttps(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      httpsRedirectConfigurerCustomizer - Customizer を使用して、HttpsRedirectConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • httpBasic

      public HttpSecurity httpBasic(Customizer<HttpBasicConfigurer<HttpSecurity>> httpBasicCustomizer)
      HTTP 基本認証を構成します。

      構成例

      以下の例は、アプリケーションの HTTP 基本認証を構成する方法を示しています。デフォルトのレルムは「レルム」ですが、HttpBasicConfigurer.realmName(String) を使用してカスタマイズできます。
       @Configuration
 @EnableWebSecurity
 public class HttpBasicSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests((authorizeHttpRequests) ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .httpBasic(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      httpBasicCustomizer - Customizer を使用して、HttpBasicConfigurer により多くのオプションを提供します。
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @

    • passwordManagement

      public HttpSecurity passwordManagement(Customizer<PasswordManagementConfigurer<HttpSecurity>> passwordManagementCustomizer)
      パスワード管理のサポートを追加します。

      構成例

      以下の例は、アプリケーションのパスワード管理を構成する方法を示しています。デフォルトのパスワード変更ページは "/change-password" ですが、PasswordManagementConfigurer.changePasswordPage(String) を使用してカスタマイズできます。
       @Configuration
 @EnableWebSecurity
 public class PasswordManagementSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .authorizeHttpRequests(authorizeHttpRequests ->
                                authorizeHttpRequests
                                        .requestMatchers("/**").hasRole("USER")
                        )
                        .passwordManagement(passwordManagement ->
                                passwordManagement
                                        .changePasswordPage("/custom-change-password-page")
                        );
                return http.build();
        }
 }
      パラメーター:
      passwordManagementCustomizer - Customizer を使用して、PasswordManagementConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      5.6

    • authenticationManager

      public HttpSecurity authenticationManager(AuthenticationManager authenticationManager)
      デフォルトの AuthenticationManager を構成します。
      パラメーター:
      authenticationManager - 使用する AuthenticationManager
      戻り値:
      さらにカスタマイズするための HttpSecurity
      導入:
      5.6

    • setSharedObject

      public <C> void setSharedObject(ClassSE<C> sharedType, C object)
      クラスからコピーされた説明: AbstractConfiguredSecurityBuilder
      複数の SecurityConfigurer によって共有されるオブジェクトを設定します。
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の setSharedObject 
      オーバーライド:
      クラス AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain,HttpSecurity> の setSharedObject 
      パラメーター:
      sharedType - 共有オブジェクトのキーとなるクラス。
      object - 格納するオブジェクト

    • beforeConfigure

      protected void beforeConfigure()
      クラスからコピーされた説明: AbstractConfiguredSecurityBuilder
      各 SecurityConfigurer.configure(SecurityBuilder) メソッドを呼び出す前に呼び出されます。サブクラスは、このメソッドをオーバーライドして、SecurityConfigurer を使用せずにライフサイクルにフックできます。
      オーバーライド:
      クラス AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain,HttpSecurity> の beforeConfigure 

    • performBuild

      protected DefaultSecurityFilterChain performBuild()
      クラスからコピーされた説明: AbstractConfiguredSecurityBuilder
      サブクラスはこのメソッドを実装して、返されるオブジェクトを構築する必要があります。
      次で指定:
      クラス AbstractConfiguredSecurityBuilder<DefaultSecurityFilterChain,HttpSecurity> の performBuild 
      戻り値:
      Object が buit であるか、実装で許可されている場合は null

    • authenticationProvider

      public HttpSecurity authenticationProvider(AuthenticationProvider authenticationProvider)
      インターフェースからコピーされた説明: HttpSecurityBuilder
      AuthenticationProvider を追加して使用できるようにします
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の authenticationProvider 
      パラメーター:
      authenticationProvider - 追加する AuthenticationProvider
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • userDetailsService

      public HttpSecurity userDetailsService(UserDetailsService userDetailsService)
      インターフェースからコピーされた説明: HttpSecurityBuilder
      UserDetailsService を追加して使用できるようにします
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の userDetailsService 
      パラメーター:
      userDetailsService - 追加する UserDetailsService
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • addFilterAfter

      public HttpSecurity addFilterAfter(jakarta.servlet.Filter filter, ClassSE<? extends jakarta.servlet.Filter> afterFilter)
      インターフェースからコピーされた説明: HttpSecurityBuilder
      既知の Filter クラスの 1 つの後に Filter を追加できます。既知の Filter インスタンスは、HttpSecurityBuilder.addFilter(Filter) にリストされている Filter、または HttpSecurityBuilder.addFilterAfter(Filter, Class) または HttpSecurityBuilder.addFilterBefore(Filter, Class) を使用してすでに追加されている Filter のいずれかです。
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の addFilterAfter 
      パラメーター:
      filter - 型 afterFilter の後に登録する Filter 
      afterFilter - 既知の Filter のクラス。
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • addFilterBefore

      public HttpSecurity addFilterBefore(jakarta.servlet.Filter filter, ClassSE<? extends jakarta.servlet.Filter> beforeFilter)
      インターフェースからコピーされた説明: HttpSecurityBuilder
      既知の Filter クラスの 1 つの前に Filter を追加できます。既知の Filter インスタンスは、HttpSecurityBuilder.addFilter(Filter) にリストされている Filter、または HttpSecurityBuilder.addFilterAfter(Filter, Class) または HttpSecurityBuilder.addFilterBefore(Filter, Class) を使用してすでに追加されている Filter のいずれかです。
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の addFilterBefore 
      パラメーター:
      filter - 型 beforeFilter の前に登録する Filter 
      beforeFilter - 既知の Filter のクラス。
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • addFilter

      public HttpSecurity addFilter(jakarta.servlet.Filter filter)
      インターフェースからコピーされた説明: HttpSecurityBuilder
      セキュリティフレームワーク内で提供されるフィルターのいずれかのインスタンスであるか、拡張する必要がある Filter を追加します。このメソッドにより、フィルターの順序が自動的に処理されます。フィルターの順序は次のとおりです。
      次で指定:
      インターフェース HttpSecurityBuilder<HttpSecurity> の addFilter 
      パラメーター:
      filter - 追加する Filter 
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • addFilterAt

      public HttpSecurity addFilterAt(jakarta.servlet.Filter filter, ClassSE<? extends jakarta.servlet.Filter> atFilter)
      指定された Filter クラスの場所に Filter を追加します。例: フィルター CustomFilter を UsernamePasswordAuthenticationFilter と同じ位置に登録したい場合は、以下を呼び出すことができます。
       addFilterAt(new CustomFilter(), UsernamePasswordAuthenticationFilter.class)
      同じ場所に複数のフィルターを登録すると、それらの順序は確定的ではなくなります。より具体的には、同じ場所に複数のフィルターを登録しても、既存のフィルターはオーバーライドされません。代わりに、使用しないフィルターを登録しないでください。
      パラメーター:
      filter - 登録するフィルター
      atFilter - Spring Security にすでに登録されている（つまり既知の）別の Filter の場所
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • securityMatchers

      public HttpSecurity securityMatchers(Customizer<HttpSecurity.RequestMatcherConfigurer> requestMatcherCustomizer)
      この HttpSecurity が呼び出される HttpServletRequest インスタンスを指定できます。このメソッドにより、複数の異なる RequestMatcher インスタンスに対して HttpSecurity を簡単に呼び出すことができます。RequestMatcher が 1 つだけ必要な場合は、securityMatcher(String...) または securityMatcher(RequestMatcher) の使用を検討してください。

      securityMatchers(Customizer) を呼び出しても、#securityMatchers()、securityMatchers(Customizer)、securityMatcher(String...)、securityMatcher(RequestMatcher) の以前の呼び出しは上書きされません。

      構成例

      次の構成では、"/api/" または "/oauth/" で始まる URL に対して HttpSecurity を有効にします。
       @Configuration
 @EnableWebSecurity
 public class RequestMatchersSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .securityMatchers((matchers) -> matchers
                                .requestMatchers("/api/**", "/oauth/**")
                        )
                        .authorizeHttpRequests((authorize) -> authorize
                                .anyRequest().hasRole("USER")
                        )
                        .httpBasic(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      以下の構成は、前の構成と同じです。
       @Configuration
 @EnableWebSecurity
 public class RequestMatchersSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .securityMatchers((matchers) -> matchers
                                .requestMatchers("/api/**")
                                .requestMatchers("/oauth/**")
                        )
                        .authorizeHttpRequests((authorize) -> authorize
                                .anyRequest().hasRole("USER")
                        )
                        .httpBasic(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      以下の構成も上記の構成と同じです。
       @Configuration
 @EnableWebSecurity
 public class RequestMatchersSecurityConfig {

        @Bean
        public SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        .securityMatchers((matchers) -> matchers
                                .requestMatchers("/api/**")
                        )
                        .securityMatchers((matchers) -> matchers
                                .requestMatchers("/oauth/**")
                        )
                        .authorizeHttpRequests((authorize) -> authorize
                                .anyRequest().hasRole("USER")
                        )
                        .httpBasic(withDefaults());
                return http.build();
        }

        @Bean
        public UserDetailsService userDetailsService() {
                UserDetails user = User.withDefaultPasswordEncoder()
                        .username("user")
                        .password("password")
                        .roles("USER")
                        .build();
                return new InMemoryUserDetailsManager(user);
        }
 }
      パラメーター:
      requestMatcherCustomizer - Customizer を使用して、HttpSecurity.RequestMatcherConfigurer により多くのオプションを提供します。
      戻り値:
      さらにカスタマイズするための HttpSecurity

    • securityMatcher

      public HttpSecurity securityMatcher(RequestMatcher requestMatcher)
      指定された RequestMatcher と一致する場合にのみ HttpSecurity が呼び出されるように構成できます。より高度な構成が必要な場合は、securityMatchers(Customizer) ()} の使用を検討してください。

      securityMatcher(RequestMatcher) を呼び出すと、securityMatcher(RequestMatcher)、securityMatcher(String...)、securityMatchers(Customizer)、#securityMatchers() の以前の呼び出しが上書きされます。

      パラメーター:
      requestMatcher - 使用する RequestMatcher、たとえば PathPatternRequestMatcher.pathPattern(HttpMethod.GET, "/admin/**")
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • securityMatcher

      public HttpSecurity securityMatcher(StringSE... patterns)
      指定された patterns のセットに一致する場合にのみ HttpSecurity が呼び出されるように設定できます。一致ルールについては PathPattern を参照してください

      securityMatcher(String...) を呼び出すと、以前の securityMatcher(String...) (文字列)、securityMatcher(RequestMatcher) ()、securityMatchers(Customizer) (文字列)、および #securityMatchers() (文字列) の呼び出しがオーバーライドされます。

      パラメーター:
      patterns - 一致するパターン (つまり、"/admin/**")
      戻り値:
      さらにカスタマイズするための HttpSecurity
      関連事項:

    • webAuthn

      public HttpSecurity webAuthn(Customizer<WebAuthnConfigurer<HttpSecurity>> webAuthn)
      webAuthn/ パスキーベースの認証を指定します。
              @Bean
        SecurityFilterChain securityFilterChain(HttpSecurity http)  {
                http
                        // ...
                        .webAuthn((webAuthn) -> webAuthn
                                .rpId("example.com")
                                .allowedOrigins("https://example.com")
                        );
                return http.build();
        }
      パラメーター:
      webAuthn - 適用するカスタマイザー
      戻り値:
      HttpSecurity のさらなるカスタマイズについては @