Spring BootでWebセキュリティを設定しよう

dependencies {
    : // (省略)
    implementation 'org.springframework.boot:spring-boot-starter-security'
}

import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;

@Configuration
@EnableWebSecurity  //  (1) Spring Securityを使うための設定
public class WebBasicAuthSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        //  (2) 主に全体に対するセキュリティ設定を行う
        //  web.ignoring().antMatchers("/css/**","/js/**","/images/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //  (3) 主にURLごとに異なるセキュリティ設定を行う
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //  (4) 主に認証方法の実装の設定を行う
    }
}

public class WebBasicAuthSecurityConfiguration extends WebSecurityConfigurerAdapter {

    // (1) Basic認証のID
    @Value("${zipcode.admin.username}")
    private String username;

    // (2) Basic認証のパスワード
    @Value("${zipcode.admin.password")
    private String password;

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        // (3) Basic認証の対象となるパス
        http.antMatcher("/admin/**");

        // (4) Basic認証を指定
        http.httpBasic();

        // (5) 対象のすべてのパスに対して認証を有効にする
        http.authorizeRequests().anyRequest().authenticated();

        // (6) すべてのリクエストをステートレスとして設定
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        // : 省略
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // (7) Basic認証の実装を指定
        auth.authenticationProvider(new BasicAuthenticationProvider());
    }

    // (8) 認証処理の実装クラス
    public class BasicAuthenticationProvider implements AuthenticationProvider {

        // (9) 認証チェック
        @Override
        public Authentication authenticate(Authentication authentication) throws AuthenticationException {

            String name = authentication.getName();
            String password = authentication.getCredentials().toString();

            //  入力された name / password をチェックする
            if( name.equals(username) && password.equals(password) ){
               return new UsernamePasswordAuthenticationToken(name,password,authentication.getAuthorities());
            }

            throw new AuthenticationCredentialsNotFoundException("basic auth error");
        }

        // (10) 処理すべきAuthenticationクラスのチェック
        @Override
        public boolean supports(Class<?> authentication) {
            return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
        }
    }
    // : 省略
}

public class WebHeaderSecurityConfiguration extends WebSecurityConfigurerAdapter {

    // : 省略

    // (1) フィルタを実装
    public class HeaderCheckFilter extends AbstractPreAuthenticatedProcessingFilter {

        private String headerName;

        public HeaderCheckFilter(String headerName) {
            this.headerName = headerName;
        }

        // (2) ヘッダ(X-Token)の値を返す
        @Override
        protected Object getPreAuthenticatedPrincipal(HttpServletRequest request) {
            return request.getHeader(headerName);
        }

        @Override
        protected Object getPreAuthenticatedCredentials(HttpServletRequest request) {
            return "";
        }
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        HeaderCheckFilter filter = new HeaderCheckFilter("X-Token");

        // (3) ヘッダのチェック
        filter.setAuthenticationManager(new AuthenticationManager() {
            @Override
            public Authentication authenticate(Authentication authentication) throws AuthenticationException {

                String principal = (String) authentication.getPrincipal();

                // X-Tokenのヘッダの値をチェックする
                if(principal.equals("PASS")) {
                    // (4) 認証済みとして設定する
                    authentication.setAuthenticated(true);
                }
                else{
                    throw new BadCredentialsException("Token key error");
                }
                return authentication;
            }
        });

        // 認証の対象となるパス
        http.antMatcher("/admin/**");

        // (5) フィルタの設定
        http.addFilter(filter);

        // 対象のすべてのパスに対して認証を有効にする
        http.authorizeRequests().anyRequest().authenticated();

        // : 省略
    }

    //  : 省略
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    // : 省略
    http.csrf().disable();
    // : 省略
}

{
  "status": {
    "code": "error",
    "message": "Full authentication is required to access this resource"
  }
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    // : 省略

    // (1) エラーが生じたときのレスポンス設定
    http.exceptionHandling().authenticationEntryPoint(new ErrorAuthEntryPoint());
}
// (2) エラー結果を記述するための実装
public class ErrorAuthEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException)
            throws IOException, ServletException {

        // (3) 実際のエラーを出力する
        ErrorResponse errorResponse = Response.createErrorResponse(authException);
        ObjectMapper mapper = new ObjectMapper();
        mapper.configure(JsonParser.Feature.ALLOW_COMMENTS,true);

        response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        response.setCharacterEncoding("UTF-8");

        mapper.writeValue(response.getWriter(),errorResponse);
    }
}