Spring Boot 12. 권한에 맞는 화면 구성 및 API 호출

 

<button type="button" class="btn btn-danger" sec:authorize="hasRole('ROLE_ADMIN')"
th:onclick="|deleteBoard(*{id})|">삭제</button>

삭제 버튼을 사용자 권한에 따라 구성 (관리자만 삭제 버튼이 보이도록 함)

 

js로 구성, 실제 삭제를 위해 API 호출

BoardApiController

@DeleteMapping("/boards/{id}")
void deleteBoard(@PathVariable Long id) {
    repository.deleteById(id);
}

 

form.html

<script>
    function deleteBoard(id) {
        $.ajax({
            url: '/api/boards/' + id,
            type: 'DELETE',
            success: function (result) {
                console.log('result', result);
                alert('delete confirm');
                window.location.href = '/board/list';
            }
        });
    }
</script>

버튼만 가리면 postman에서 delete요청을 보냈을 때 삭제가 되기 때문에 보안에 취약하므로 서버단에서 설정을 해줘야 한다.

 

MethodSecurityConfig

@Configuration
@EnableMethodSecurity(
        prePostEnabled = true,
        securedEnabled = true,
        jsr250Enabled = true)
public class MethodSecurityConfig {

}

 

admin일때만 버튼이 보이고 삭제요청이 가능하며, 일반 사용자는 버튼이 보이더라도 삭제를 눌렀을 때 아무 요청이 일어나지 않는다.