Giáo trình Spring Boot MVC và REST API · Chương 8/12: Đăng nhập, phân quyền và bảo vệ request · Bài 18/28 · Biên soạn tháng 10/2026.

Mục tiêu bài học

Thiết kế quy tắc truy cập theo HTTP method và đường dẫn; kiểm tra quyền tại server thay vì chỉ ẩn nút.

Lập bảng quyền trước khi viết matcher

Khách được xem danh sách và chi tiết khóa học. Teacher được thêm, sửa, xóa và quản lý tài liệu. Student chỉ có quyền như người xem đối với những thao tác này. Bảng quyền đơn giản giúp quyết định matcher chính xác và tạo ca kiểm thử dễ hiểu.

Một URL không phải lúc nào cũng chỉ có một quyền. GET /api/courses có thể công khai, trong khi POST cùng URL cần teacher. Vì vậy rule theo HTTP method phải đặt rõ trước rule tổng quát /api/**. Các matcher được xét theo thứ tự; đặt permitAll quá rộng ở đầu có thể vô tình mở cả thao tác ghi.

Tệp trong mã nguồn mẫu: src/main/java/com/hocvietcode/academy/SecurityConfig.java. Đoạn dưới được trích từ tệp này; xem bản tải về để có đủ import và phần còn lại.

@Bean SecurityFilterChain security(HttpSecurity http,@Qualifier("cors") CorsConfigurationSource corsSource)throws Exception{
    http.authorizeHttpRequests(a->a
        .requestMatchers("/","/css/**","/login","/error","/actuator/health","/api/docs").permitAll()
        .requestMatchers(HttpMethod.GET,"/courses","/courses/*","/api/courses","/api/courses/*").permitAll()
        .requestMatchers("/admin/**","/api/**").hasRole("TEACHER")
        .anyRequest().authenticated())
        .formLogin(f->f.defaultSuccessUrl("/courses",true))
        .httpBasic(withDefaults()).cors(c->c.configurationSource(corsSource))
        .logout(l->l.logoutSuccessUrl("/courses"));
    return http.build();
}

Role và authority

User.withUsername(…).roles("TEACHER") tạo authority có tiền tố ROLE_. hasRole("TEACHER") dùng quy ước đó; không truyền ROLE_TEACHER vào hasRole theo cùng cách rồi nhân đôi tiền tố. Nếu thiết kế authority chi tiết như course:write, dùng hasAuthority với chính tên quyền đó.

Trong mẫu, đường dẫn /admin/** và các API không được công khai yêu cầu teacher. Quy tắc anyRequest().authenticated() giữ những đường dẫn còn lại phải có đăng nhập. Khi bổ sung endpoint mới, đọc lại cả matcher tổng quát để đảm bảo quyền thực tế đúng với ý định.

Ẩn nút chỉ là trải nghiệm giao diện

Người dùng có thể tự gõ URL, sửa HTML hoặc gửi request bằng công cụ khác. Vì vậy dù nút xóa đã bị ẩn, server vẫn phải kiểm tra quyền ở request xóa. Bản mẫu cố ý giữ giao diện đơn giản; các test xác nhận student không thể ghi dữ liệu dù có CSRF token hợp lệ.

Với nghiệp vụ phức tạp, quyền theo URL chưa đủ. Một teacher có thể chỉ được sửa khóa học do mình sở hữu; lúc đó Service cần kiểm tra ownership trên đối tượng cụ thể. Method security với @PreAuthorize là một lựa chọn bổ sung khi bật cấu hình tương ứng. Không nên thêm annotation mà chưa bật hoặc chưa test rồi coi như đã bảo vệ được tầng nghiệp vụ.

Phân biệt 401, redirect đăng nhập và 403

Khi chưa xác thực, ứng dụng web có thể redirect tới /login; client API yêu cầu kiểu JSON hoặc dùng Basic thường nhận challenge 401. Khi đã xác thực nhưng thiếu quyền, kết quả là 403. CSRF thiếu cũng có thể trả 403, nên mã trạng thái một mình chưa chỉ ra toàn bộ nguyên nhân.

Kiểm tra cùng một request theo ba trạng thái: khách, student và teacher. Với request ghi, thêm ca teacher có token hợp lệ và teacher thiếu token. Quan sát status, response và dữ liệu DB sau request. Đây là cách phát hiện rule sai mà một lần bấm nút bằng tài khoản admin không thể cho thấy.

Lỗi thường gặp và lưu ý

• Rule công khai nên hẹp và có HTTP method rõ ràng khi cùng URL hỗ trợ cả đọc lẫn ghi.
• CSRF token hợp lệ không cấp quyền teacher cho student.

Ghi nhớ

Quyền phải được server thực thi và được kiểm thử cho cả người được phép lẫn người bị từ chối.

Tài liệu đối chiếu

• Authorize HTTP Requests