はじめに (対象読者・この記事でわかること)

この記事は、Java Webアプリケーションの開発に携わっている方、特にSpring FrameworkやSpring Securityを利用している方を対象にしています。Webアプリケーションにおけるアクセス制御の重要性を理解しつつも、「特定のURIにはアクセス制限をかけたいが、WARファイルに含まれる静的なコンテンツ（HTML, CSS, JavaScript, 画像など）には無条件にアクセスさせたい」という要件に直面している読者に最適です。

この記事を読むことで、Java Webアプリケーション、特にSpring Securityを用いた環境において、クライアントからの特定のURIリクエストにのみアクセス許可を設定し、同時にWAR内の静的コンテンツへの要求はセキュリティフィルタリングを介さずに許可する方法がわかります。これにより、セキュアでありながらユーザーエクスペリエンスを損なわないWebアプリケーションを構築するための具体的な設定手順と考慮事項を習得できます。

前提知識

この記事を読み進める上で、以下の知識があるとスムーズです。

  • Javaの基本的な文法とWebアプリケーション開発の基礎知識
  • Spring FrameworkおよびSpring Bootの基本的な利用経験
  • Spring Securityの基本的な概念（認証・認可、セキュリティフィルタチェーンなど）
  • XML（web.xml）の基本的な設定に関する理解（任意）

URIベースのアクセス制御と静的コンテンツ許可の必要性

Webアプリケーション開発において、セキュリティは最も重要な要素の一つです。特に、アプリケーションの特定の機能やデータへのアクセスを制限することは、不正利用防止やデータ保護のために不可欠です。このため、多くのWebアプリケーションではURI（Uniform Resource Identifier）に基づいてアクセス制御を行います。例えば、管理者機能へのアクセスは特定のロールを持つユーザーのみに許可し、一般ユーザー向けの機能はログイン済みユーザーのみに許可するといった具合です。

しかし、ここで一つの課題が生じます。Webアプリケーションには、HTML、CSS、JavaScript、画像ファイルなどの静的なコンテンツも含まれます。これらのコンテンツは通常、認証や認可を必要とせず、誰でもアクセスできるべきです。もし、これらの静的コンテンツまでセキュリティフィルタの対象としてしまうと、ページが正しく表示されなかったり、パフォーマンスが低下したりする可能性があります。

クライアントからの要求は、動的なAPIエンドポイントや管理画面、ユーザー固有の情報など、セキュリティレベルが異なる様々なURIに向けられます。一方で、WARファイル内部にデプロイされた静的コンテンツ（例えば /static/css/style.css や /images/logo.png など）は、アプリケーションのUIを構成する上で不可欠であり、これらにアクセスを制限することは現実的ではありません。この二つの異なる要件を両立させ、セキュアかつ効率的なWebアプリケーションを構築するための方法を理解することが、本記事の目的です。

Java Webアプリケーションでのアクセス制御実装ガイド

このセクションでは、Spring Securityを使用して、特定のURIへのアクセスを制限しつつ、WARファイル内の静的コンテンツへのアクセスを無条件に許可する具体的な方法を解説します。Spring SecurityはJavaのWebアプリケーションにおけるセキュリティ実装のデファクトスタンダードであり、宣言的な設定で強力なアクセス制御を実現できます。

ステップ1: Spring Securityの導入と基本設定

まず、プロジェクトにSpring Securityを導入します。Mavenを使用している場合、pom.xmlに以下の依存関係を追加します。

Xml

<dependencies>
    <!-- Spring Boot Web Starter -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>

    <!-- Spring Security Starter -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

    <!-- Spring Boot Thymeleaf (任意、ビュー層の例として) -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <dependency>
        <groupId>org.thymeleaf.extras</groupId>
        <artifactId>thymeleaf-extras-springsecurity6</artifactId>
    </dependency>

    <!-- その他必要な依存関係 -->
</dependencies>

次に、Spring Securityの設定クラスを作成します。Spring Boot環境では、WebSecurityConfigurerAdapterの代わりにSecurityFilterChain Beanを定義するのが一般的です。

Java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                // 特定のURIは認証不要で許可
                .requestMatchers("/login", "/public/**", "/api/guest/**").permitAll()
                // 管理者用のURIはADMINロールが必要
                .requestMatchers("/admin/**").hasRole("ADMIN")
                // その他すべてのリクエストは認証が必要
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")        // カスタムログインページの指定
                .defaultSuccessUrl("/")     // ログイン成功後のリダイレクト先
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")       // ログアウトURL
                .logoutSuccessUrl("/login?logout") // ログアウト成功後のリダイレクト先
                .permitAll()
            );
        return http.build();
    }

    // パスワードエンコーダーの設定 (任意、実際のアプリケーションでは必須)
    /*
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
    */
}

この設定では、 - /login, /public/**, /api/guest/** へのアクセスは認証なしで許可 (permitAll()) しています。 - /admin/** へのアクセスは ADMIN ロールを持つユーザーにのみ許可 (hasRole("ADMIN")) しています。 - 上記以外のすべてのリクエストは認証済みユーザーにのみ許可 (authenticated()) しています。 - フォームベース認証を有効にし、カスタムログインページ (/login) を指定しています。

ステップ2: WARが返す静的コンテンツの無条件許可

WARファイル内の静的コンテンツ（例: /src/main/resources/static や /src/main/resources/public に配置されるファイル）は、Spring Bootのデフォルト設定で /static/** や /webjars/** などのURIからアクセス可能です。これらの静的コンテンツは通常、セキュリティフィルタチェーンの対象外とすべきです。

Spring Securityでは、web.ignoring().antMatchers() を使用して特定のパスをセキュリティフィルタリングから完全に除外できます。これにより、これらのパスへのリクエストはSpring Securityの認証・認可プロセスをスキップし、無条件にアクセス可能となります。

SecurityConfigクラスに以下のBeanを追加します（Spring Boot 2.7以降のWebSecurityCustomizerを使用します）。

Java

import org.springframework.boot.autoconfigure.security.servlet.PathRequest;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.config.annotation.web.configuration.WebSecurityCustomizer;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/login", "/public/**", "/api/guest/**").permitAll()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .defaultSuccessUrl("/")
                .permitAll()
            )
            .logout(logout -> logout
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login?logout")
                .permitAll()
            );
        return http.build();
    }

    // 静的リソースをセキュリティフィルタチェーンから除外する設定
    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring()
            // Spring Bootが提供する静的リソースパスを自動的に無視
            .requestMatchers(PathRequest.toStaticResources().atCommonLocations())
            // 特定の静的リソースディレクトリを個別に無視 (上記に含まれない場合やカスタムの場合)
            .requestMatchers("/css/**", "/js/**", "/images/**", "/webfonts/**", "/favicon.ico");
    }
}
  • WebSecurityCustomizerをBeanとして定義し、その中でweb.ignoring()を使用します。
  • PathRequest.toStaticResources().atCommonLocations()は、Spring Bootがデフォルトで提供する静的リソースの場所（/css/**, /js/**, /images/**, /webjars/**, /favicon.ico など）を自動的に対象とします。これにより、多くのケースで十分な設定となります。
  • 必要に応じて、requestMatchers()で特定の静的リソースパスを明示的に追加することも可能です。

この設定により、/css/style.css や /images/logo.png のようなリクエストはSpring Securityの認証・認可プロセスを完全にスキップし、誰でもアクセスできるようになります。一方で、/api/private や /admin/dashboard のようなリクエストは、ステップ1で定義したルールに基づいて適切に認証・認可が実行されます。

ハマった点やエラー解決

1. web.ignoring() と authorizeHttpRequests().requestMatchers().permitAll() の使い分け

  • web.ignoring(): このメソッドで指定されたパスは、Spring Securityのセキュリティフィルタチェーンを完全にスキップします。つまり、認証も認可もCSRF保護もセッション管理も一切適用されません。これは主に静的コンテンツ（CSS, JS, 画像など）に対して使用し、パフォーマンス向上とシンプルなアクセスを実現します。
  • authorizeHttpRequests().requestMatchers().permitAll(): このメソッドで指定されたパスは、セキュリティフィルタチェーンを通過しますが、認証や特定のロールが不要であると設定されます。つまり、CSRF保護やセッション管理などの他のセキュリティ機能は適用されます。ログインページや公開APIなど、セキュリティフィルタリングは必要だが、認証は不要な動的コンテンツに対して使用します。

解決策: 静的コンテンツはweb.ignoring()で除外し、ログインページや公開APIなど、フィルタリングは必要だが認証は不要な動的コンテンツにはpermitAll()を使用することで、意図したセキュリティレベルとパフォーマンスを両立させることができます。

2. URLマッチングの順序

Spring SecurityのrequestMatchers()は、定義された順序でルールを評価します。より具体的なパスが先に定義されていないと、意図しないルールが適用されてしまうことがあります。

例:

Java

// 誤った順序
.requestMatchers("/**").authenticated() // すべて認証が必要
.requestMatchers("/public/**").permitAll() // 公開パスは許可

この場合、/public/index.htmlへのアクセスも/**のルールに先にマッチしてしまい、認証が必要と判断されてしまいます。

解決策: より具体的なパスを先に、より一般的なパスを後に記述するようにします。

Java

// 正しい順序
.requestMatchers("/public/**").permitAll() // 公開パスは許可
.requestMatchers("/admin/**").hasRole("ADMIN") // 管理者パスはADMINロール
.anyRequest().authenticated() // その他のすべてのリクエストは認証が必要

3. WARファイル外のリソースへの対応

WARファイル内に含まれない静的コンテンツ（例えば外部の画像サーバーやCDN）を許可したい場合は、web.ignoring()の範囲外となるため、別の考慮が必要です。

解決策: WARファイル外のリソースは、通常Spring Securityの直接的な管理外となるため、Webサーバー（Apache, Nginxなど）で直接配信するか、アプリケーションがプロキシとして動作して配信するなど、異なるアプローチを検討します。

まとめ

本記事では、Java Webアプリケーションにおいて、クライアントからの特定のURI要求のみを許可し、同時にWARファイル内に含まれる静的コンテンツへの要求は無条件に許可するための方法を解説しました。

  • Spring Security を利用することで、宣言的に複雑なアクセス制御ルールを実装できます。
  • WebSecurityCustomizer の web.ignoring() メソッドを使用することで、WAR内の静的コンテンツをセキュリティフィルタリングから完全に除外し、無条件かつ効率的なアクセスを可能にします。
  • HttpSecurity の authorizeHttpRequests().requestMatchers().permitAll() を用いることで、セキュリティフィルタリングを通過させつつ、特定の動的URIへの認証不要なアクセスを許可できます。

この記事を通して、読者の皆様がJava Webアプリケーションのセキュリティとパフォーマンスのバランスを適切に取った実装ができるようになったことと信じています。今後は、ユーザー認証メカニズムのカスタマイズ（例: OAuth2、JWT）、細粒度なアクセス制御（例: メソッドレベルセキュリティ）、マイクロサービス環境でのセキュリティ連携など、より発展的な内容についても記事にする予定です。

参考資料