はじめに
こんにちは！
今回は、Spring Securityの設定でよく使用される@EnableWebSecurityアノテーションについてお話しします。このアノテーションを使うことで、Webアプリケーションのセキュリティ設定がとっても簡単になりますよ。
@EnableWebSecurityって何？
@EnableWebSecurityとは
「Spring Securityの設定を有効にするためのアノテーション」
のことです。
Spring Securityは、Webアプリケーションのセキュリティ（認証や認可）を簡単に管理できるフレームワークです。
この@EnableWebSecurityアノテーションを付けることで、Spring Securityが提供するさまざまなセキュリティ機能を利用できるようになります。
基本的な使い方
では、実際に@EnableWebSecurityを使った基本的な設定例を見てみましょう。
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/public/**").permitAll() // 公開URLは誰でもアクセス可能
.anyRequest().authenticated() // それ以外は認証が必要
.and()
.formLogin() // ログインフォームの設定
.loginPage("/login") // カスタムログインページ
.permitAll();
}
}
説明
このコードの、HttpSecurity httpの部分が@EnableWebSecurityを付けることで、使えるようになるところです。
HttpSecurityを使用して、アクセス可能なURLを指定したり、ログインフォームを設定したり、様々な認可ルールを設定でき、これだけで、Webアプリケーション全体に対して基本的なセキュリティが適用されます。
@EnableWebSecurityの使い方【応用編】
1. カスタムログインページを設定する
デフォルトのログイン画面ではなく、自分で用意したログイン画面を使いたい場合は以下のように設定できます。
http
.formLogin(form -> form
.loginPage("/login")
.usernameParameter("user")
.passwordParameter("pass")
.defaultSuccessUrl("/home")
.permitAll()
);説明
.loginPage("/login")でカスタムログインページを指定。usernameParameterとpasswordParameterで、フォームのinput要素の名前を設定。- ログイン成功後のリダイレクト先を
defaultSuccessUrlで指定。
2. ロールベースのアクセス制御
異なるユーザーに異なるアクセス権限を設定したい場合には、以下のようにします。
http
.authorizeHttpRequests(auth -> auth
.requestMatchers("/admin/**").hasRole("ADMIN")
.requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
.anyRequest().authenticated()
);説明
/admin/**はADMINロールのユーザーのみアクセス可能。/user/**はUSERまたはADMINロールのユーザーがアクセス可能。
3. CSRF保護の設定
Spring SecurityではデフォルトでCSRF（Cross-Site Request Forgery）保護が有効になっていますが、必要に応じて無効にすることも可能です。
http
.csrf(csrf -> csrf.disable());
説明
.csrf(csrf -> csrf.disable())でCSRF保護を無効化。- APIなどの開発時にCSRFが不要な場合に使用。
@EnableWebSecurityの引数
1. debugモード
セキュリティ設定の動作をデバッグしたい場合は、debug属性を利用します。
@EnableWebSecurity(debug = true)- デバッグモードを有効にすると、コンソールに詳細なセキュリティログが表示されます。
4. APIエンドポイントのセキュリティ設定
REST APIでは、状態を持たない認証方式（例えば、JWT認証）を使用することが一般的です。
http
.authorizeHttpRequests(auth -> auth
.requestMatchers("/api/**").authenticated()
)
.sessionManagement(sess -> sess.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
.httpBasic();説明
SessionCreationPolicy.STATELESSでセッションを持たない設定に。.httpBasic()でBasic認証を有効化（JWTの場合は別途フィルターを設定）。
5. SecurityFilterChainを複数設定する
複数のセキュリティ設定を適用したい場合、SecurityFilterChainを複数作成できます。
@Bean
public SecurityFilterChain apiSecurityFilterChain(HttpSecurity http) throws Exception {
http
.securityMatcher("/api/**")
.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
.httpBasic();
return http.build();
}
@Bean
public SecurityFilterChain webSecurityFilterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
.formLogin();
return http.build();
}説明
/api/**用と、それ以外用で異なるセキュリティ設定を適用。securityMatcherを使用して異なるURLパターンごとに設定を分けられる。
おわりに
@EnableWebSecurityの使いどころ
- Webアプリケーション全体のセキュリティを簡単に管理：認証、認可、セッション管理などが簡単に設定できます。
- APIエンドポイントの保護：特定のエンドポイントに対して、認証の有無やロールによるアクセス制御が可能です。
@EnableWebSecurityの強み
- 柔軟な設定：Spring Securityは非常にカスタマイズ性が高く、
@EnableWebSecurityを使うことで自分に合ったセキュリティ設定が可能です。 - 拡張性：OAuth2やJWTなど、さまざまな認証方式にも対応できるため、API開発にも最適。
まとめ
今回は、Spring Securityの@EnableWebSecurityについて徹底解説しました。セキュリティ設定がこんなに簡単にできるなんて驚きですよね。
ぜひ、この機会に実際のプロジェクトで試してみてください！セキュリティ設定をマスターして、より安全なWebアプリケーションを構築しましょう。
もっと詳しく知りたい方は、Spring公式ドキュメントを見てみてくださいね。
他の記事が見たい方はこちら！↓↓↓
