SpringBoot实现对静态资源的访问权限控制的三种方案

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/api/public/**").permitAll() // 公开API
                .requestMatchers("/api/**").authenticated()   // 其他API需要认证
                .anyRequest().permitAll() // <<-- 问题所在！
            )
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                // 明确放行公开API和登录页等
                .requestMatchers("/api/public/**", "/login").permitAll() 
                // 明确放行公开的静态资源
                .requestMatchers("/css/**", "/js/**", "/images/logo.png").permitAll() 
                // 其他所有请求，包括所有未指定的静态资源，都需要认证
                .anyRequest().authenticated()
            )
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

@RestController
@RequestMapping("/files")
public class PrivateFileController {

    // 假设私有文件存储在项目根目录的 'private-uploads' 文件夹下
    private static final String PRIVATE_STORAGE_PATH = "private-uploads/";

    @GetMapping("/{filename:.+}")
    public ResponseEntity<Resource> serveFile(@PathVariable String filename) {
        // 1. 获取当前登录用户信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        String currentUsername = authentication.getName();

        // 2. 实现你的核心业务逻辑
        //    例如：从数据库查询文件元信息，判断当前用户是否有权访问该文件
        if (!hasPermission(currentUsername, filename)) {
            // 如果无权访问，可以返回403 Forbidden
            return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
        }

        try {
            // 3. 加载文件资源
            Path file = Paths.get(PRIVATE_STORAGE_PATH).resolve(filename);
            Resource resource = new UrlResource(file.toUri());

            if (resource.exists() || resource.isReadable()) {
                // 4. 设置响应头，让浏览器能正确处理文件
                return ResponseEntity.ok()
                        .header(HttpHeaders.CONTENT_DISPOSITION, "attachment; filename="" + resource.getFilename() + """)
                        .body(resource);
            } else {
                // 文件不存在或无法读取
                return ResponseEntity.notFound().build();
            }
        } catch (MalformedURLException e) {
            return ResponseEntity.internalServerError().build();
        }
    }

    /**
     * 伪代码：检查用户权限
     * @param username 用户名
     * @param filename 文件名
     * @return 是否有权限
     */
    private boolean hasPermission(String username, String filename) {
        // 在这里实现你的复杂逻辑
        // 比如：
        // 1. 从数据库查询文件名对应的文件信息，包含所有者ID。
        // 2. 查询当前用户名对应的用户ID。
        // 3. 对比两者是否一致，或者用户是否具有特定角色（如管理员）。
        System.out.println("Checking permission for user '" + username + "' on file '" + filename + "'");
        // 示例：简单地假设只有admin用户可以下载所有文件
        return "admin".equals(username);
    }
}

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Autowired
    private StaticResourceAuthInterceptor staticResourceAuthInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        // 拦截所有对 /uploads/ 路径下资源的请求
        registry.addInterceptor(staticResourceAuthInterceptor)
                .addPathPatterns("/uploads/**");
    }
}

@Component
public class StaticResourceAuthInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        // 1. 获取用户信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null || !authentication.isAuthenticated() || authentication instanceof AnonymousAuthenticationToken) {
            // 用户未登录，重定向到登录页或返回401
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }
        String currentUsername = authentication.getName();

        // 2. 从请求路径中解析出文件名
        String requestURI = request.getRequestURI(); // e.g., /uploads/private-file.txt
        String filename = requestURI.substring(requestURI.lastIndexOf("/") + 1);

        // 3. 执行权限检查
        if (!hasPermission(currentUsername, filename)) {
            // 无权限，返回403
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }

        // 4. 有权限，放行
        // preHandle返回true后，请求会继续流转到Spring默认的ResourceHttpRequestHandler，
        // 由它来完成静态文件的读取和响应。
        return true;
    }

    /**
     * 伪代码：权限检查逻辑（同方案二）
     */
    private boolean hasPermission(String username, String filename) {
        System.out.println("Interceptor is checking permission for user '" + username + "' on file '" + filename + "'");
        return "admin".equals(username);
    }
}