Spring Boot3のSpring Security 6でSecurityFilterChainを使用して、SecurityConfigを作成したい

Question

実現したいこと

Spring Boot3のSpring Security 6でSecurityFilterChainを使用して、SecurityConfigを作成したいです。

参考記事 (Spring Security 5.7の記事を参考にしています)
https://www.docswell.com/s/MasatoshiTada/KGVY9K-spring-security-intro
https://qiita.com/suke_masa/items/908805dd45df08ba28d8

.requestMatchersでエラーが出ていて、requestMatchersの使用方法がわからなくて困っています。

わかるかたいらっしゃいましたらよろしくお願いします。

エラーメッセージ

型 AbstractRequestMatcherRegistry<AuthorizeHttpRequestsConfigurer<HttpSecurity>.AuthorizedUrl> のメソッド requestMatchers(RequestMatcher...) は (StaticResourceRequest.StaticResourceServerWebExchange) に適用できません。

ソース

package com.example.spring_boot_application;

import org.springframework.boot.autoconfigure.security.reactive.PathRequest;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
public class SecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

		// 設定
		http.formLogin(login -> login // フォーム認証の記述開始開始
				.loginProcessingUrl("/login") // ユーザー名・パスワードの送信先URL
				.loginPage("/login") // ログイン画面のURL
				.defaultSuccessUrl("/") // ログイン成功後のリダイレクトURL
				.failureUrl("/login?error") // ログイン失敗後のリダイレクトURL
				.permitAll() // ログイン画面は未ログインでもアクセス可能
		).logout(logout -> logout // ログアウトの設定記述開始
				.logoutSuccessUrl("/") // ログアウト成功後のリダイレクトURL
		).authorizeHttpRequests(authz -> authz // URLごとの認可設定記述開始
				.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll() // "/css/**"などはログイン無しでもアクセス可能
				.mvcMatchers("/").permitAll() // "/"はログイン無しでもアクセス可能
				.mvcMatchers("/general").hasRole("GENERAL") // "/general"はROLE_GENERALのみアクセス可能
				.mvcMatchers("/admin").hasRole("ADMIN") // "/admin"はROLE_ADMINのみアクセス可能
				.anyRequest().authenticated() // 他のURLはログイン後のみアクセス可能 
		);

		return http.build();
	}
}

エラーが出ている箇所

Answer 1

Spring Boot 3（Spring Security 6）では、requestMatchersに変更されたので、以下のようにすると動作可能かと思います。

// mvcMatchersをrequestMatchersに変更
).authorizeHttpRequests(authz -> authz
    .requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
    .requestMatchers("/").permitAll()
    .requestMatchers("/general").hasRole("GENERAL")
    .requestMatchers("/admin").hasRole("ADMIN")
    .anyRequest().authenticated()
);

Comments

[miu1]

ありがとうございます。全てrequestMatchersにする必要があるんですね。

しかし、.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()　の行でエラーが出てしまいます。
引数の使い方の間違いなのですが、

.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
は resource/static にある"/css/**"などをログイン無しでもアクセス可能にするのですが、
フォルダ数が少ないので、1つずつ文字で指定するなども方法はあるかもしれませんが。

[IT001]

閉じカッコの数などは、合っていますでしょうか？また、純粋にmvcMatchersをrequestMatchersに変更してもダメでしょうか？
こちらの環境ではエラーが消えるので、もしかすると環境など（Javaのバージョンなど）がおかしいのかもしれません。

[miu1]

申し遅れました、Javaのバージョンが　Adopt Open JDKの11を使用しています。
バージョンが関係しているかもしれませんね。

[IT001]

Spring Boot 3はJDK17以降でないと動かないので、JDK17にすると動作すると思います。
https://github.com/spring-projects/spring-framework/wiki/Spring-Framework-Versions
・Spring Framework 6.0.x: JDK 17-21 (for native images: JDK 17-19)

[miu1]

.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()　をやめて
↓
.mvcMatchers("/css/**").permitAll()
.mvcMatchers("/js/**").permitAll()
...

等にしたほうがいいかもしれません。

[miu1]

なるほどです、そもそもが間違いでした。JDKを17に更新します。

[miu1]

Spring Boot3を使いたかったですが、JDK11(LTS)を使用しようとしていたことが間違いでした。
ありがとうございます。

いまきづいたのですが、Adopt OpenJDKは16 までですね。
本家の物を使用する必要があるようです。

[IT001]

環境周りは難しかったりするので、解決して良かったです。

[IT001]

ちなみに、Adopt OpenJDKはAdoptium（旧Adopt OpenJDK）に移行してしまったので、Adoptiumの方が最新です。旧Adopt OpenJDKは、もう更新がありません。
https://adoptium.net
最新は、こちらからダウンロードできます。

[miu1]

教えていただきありがとうございます。
私もAdoptを調べていたらAdoptiumを見つけました。そちらでダウンロードします。

現在はJDK17がLTSということもわかりました。

[miu1]

Adoptium OpenJDK17を入れて、Springスターターで再作成しましたが、結果が同じでした。
EclipseのJREは標準の17を設定していますが。

質問文に画像を追加させていただきました。

.requestMatchersの引数がStringだとエラーしないのでもしかしてと思い、

.requestMatchers(PathRequest.toStaticResources().atCommonLocations().toString()).permitAll()

とtoString()を追加したところエラーはでなくなりました。

[IT001]

import文を見落としていたのですが、参考記事と同じようにすると動くと思います。
// reactive.PathRequestをservlet.PathRequestへ変更
import org.springframework.boot.autoconfigure.security.servlet.PathRequest;

[miu1]

ありがとうございます。
ご指摘のimport文の修正でtoStringをつけなくても治りました。
importには似たようなものもあるので気をつけたいと思います。