spring security5.7以降WebSecurityConfigurerAdapterを使わない新しい書き方が知りたい。

Question

前提

現在、spring securityの勉強をしています。
参考書「田村達也. 後悔しないためのSpring Boot 入門書：Spring 解体新書（第2版）: Spring Bootが丸分かり Spring解体新書 」 を使用しているのですが、WebSecurityConfigurerAdapterを継承した方法で記述してあります。
しかし、上記の方法は現在非推奨になってしまっており、最新の書き方を調べているのですが、サイトによって書き方がまちまちでどれを参考にすれば良いか分からない状態です。

実現したいこと

• spring security 5.7以降での書き方を知りたい。

参考書で書かれている書き方

package com.example.config; 

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import orgspringframeworksecurityconfigannotationwebbuildersWebSecurity;
import orgspringframeworksecurityconfigannotationwebconfigurationEnableWebSecurity;
import orgspringframeworksecurityconfigannotationwebconfigurationW e b SecurityConfigurerAdapter;

@EnableWebSecurity 
@Configuration 
public class SecurityConfig extends WebSecurityConfigurerAdapter {

	@Override
	public void configure(WebSecurity web) throws Exception { 
	
	// セキュリティを適用しない 
		web.
			ignoring()
				.antMatchers("/webjars/**") 
				.antMatchers("/css/**") 
				.antMatchers("/js/**") 
				.antMatchers("/h2-console/**"); 
	}

	/** セキュリティの各種設定 */ 
	@Override protected void configure(HttpSecurity http) throws Exception { 
	
		// ログイン不要ページの設定 
		http.authorizeRequests() 
			.antMatchers("/login").permitAll() //直リンクOK 
			.antMatchers("/user/signup").permitAll() //直リンクOK 
			.anyRequest().authenticated(); // それ以外は直リンクNG 

		// ログイン処理 
		http.formLogin()
			.loginProcessingUrl("/login") //ログイン処理のパス 
			.loginPage("/login") // ログインページの指定 
			.failureUrl("/login?error") // ログイン失敗時の遷移先 
			.usernameParameter("userId") // ログインページのユーザーID 
			.passwordParameter("password") // ログインページのパスワード 
			.defaultSuccessUrl("/user/list", true); // 成功後の遷移先
			
		//CSRF対策を無効に設定（一時的） 
		http.csrf().disable(); 
	} 
}

最新に適応した書き方

package com.example.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    	
    	http.authorizeHttpRequests(authz -> authz		// URL毎の認可設定記述開始
    	      .requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
            .mvcMatchers("/login").permitAll()			// /loginはログイン無しでもアクセス可能
            .mvcMatchers("/user/signup").permitAll()	// /user/signupはログイン無しでもアクセス可能
            .anyRequest().authenticated()			    // 他のURLはログインのみアクセス可能
            
    	).formLogin(login -> login
    		.loginProcessingUrl("/login")			// ログイン処理のパス
    		.loginPage("/login")					// ログインページの指定
    		.failureUrl("/login?error")				// ログイン失敗時の遷移先
    		.usernameParameter("userId")			// ログインページのユーザーID
    		.passwordParameter("password")			// ログインページのパスワード
    		.defaultSuccessUrl("/user/list", true)	// 成功後の遷移先
    		.permitAll()							// ログイン画面は未ログインでもアクセス可能
    			
    	).logout(logout -> logout
    			.logoutSuccessUrl("/login")
    			
        ).csrf().disable();
    	
        return http.build();        
 	}

試したこと

参考書の書き方では「WebSecurity」、「HttpSecurity」に分かれていたメソッドを、自分で書いた方は１つにまとめています。
また、下記コードのように分けて書くやり方も試しましたが、コンソールにWARNが出てしまうため不採用にしています。

    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
    	return web -> web.ignoring().requestMatchers(PathRequest.toStaticResources().atCommonLocations());
    }

参考サイト

https://qiita.com/suke_masa/items/908805dd45df08ba28d8
https://spring.io/blog/2022/02/21/spring-security-without-the-websecurityconfigureradapter
https://www.docswell.com/s/MasatoshiTada/KGVY9K-spring-security-intro

上記のサイトを参考にしました。
また、これ以外にも書き方の参考になるサイト、書籍等があれば教えて頂きたいです。

Answer 1

サイトであれば、ご提示のサイトが一番参考になると思います。
（サイトにも書いてありますが、現在web.ignoring()は使わないので、ご提示の「最新に適応した書き方」が良いと思います）

書籍であれば、下の本にSpring Securityの新しい書き方が載っています。
Spring Boot 2 入門: 基礎から実演まで
また、Spring Securityは載っていませんが、Spring Boot 3.0の本もあります。
Spring Boot 3で始めるWebアプリケーション開発入門

両方ともSpring Boot 3.0のソースコードがダウンロードできますし、Kindle Unlimitedに入っていれば無料で読めるので参考になると思います。

Comments

[JackOguro]

回答ありがとうございます。
参考にさせて頂きます。