Spring Boot: Endpoint kann nicht gefunden werden (404)

[RezaScript]

Hallo, ich bin mit Spring Security nicht wirklich vertraut, daher hoffe ich, dass mir jemand weiterhelfen kann.

Meine Website, example.com, greift auf einige Endpoints auf api.example.com zu. Siehe hier:



Ich verstehe nicht, warum ich bei den Requests zuerst ein 200 Status bekomme und danach aber 404. So sieht z.B. eine Response aus:

{
    "timestamp": "2024-10-29T12:18:57.892+00:00",
    "status": 404,
    "error": "Not Found",
    "message": "No message available",
    "path": "/user-profile/auth-data"
}

Die 404-Meldung erhalte ich nicht nur über Browser, sondern auch via Postman.

So sieht z.B. ein Controller aus:

@RestController
@RequestMapping("/user-profile")
@AllArgsConstructor
public class UserProfileController {
    private UserProfileService userProfileService;
    private UploadService uploadService;
    private Jwt jwt;

    /**
     * Retrieves profile data
     * @param authorizationHeader Authorization to obtain user's token
     * @return profile data, such as name and profile picture
     */
    @GetMapping("/auth-data")
    public ResponseEntity<Response> getAuthData(@RequestHeader("Authorization") String authorizationHeader) {
        String token = authorizationHeader.substring(7);
        UserProfileAuthData data = userProfileService.getAuthData(token);
        if (data != null) {
            Response response = Response.builder()
                    .code("USER_PROFILE_DATA")
                    .status(HttpStatus.OK)
                    .timestamp(LocalDateTime.now())
                    .messages(List.of(data))
                    .build();
            return ResponseEntity.status(HttpStatus.OK).body(response);
        }
        Response response = Response.builder()
                .code("NO_DATA")
                .status(HttpStatus.NOT_FOUND)
                .timestamp(LocalDateTime.now())
                .messages(List.of("No data could be found."))
                .build();
        return ResponseEntity.status(HttpStatus.NOT_FOUND).body(response);
    }

Und so sieht meine Konfiguration aus:

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
@AllArgsConstructor
@SpringBootApplication(scanBasePackages = {"com.dynamicquotation.dq"})
public class SecurityConfiguration implements WebMvcConfigurer {
    private final JwtFilter jwtFilter;
    private final DataSource dataSource;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.cors(cors -> cors.configurationSource(request -> {
                    CorsConfiguration configuration = new CorsConfiguration();
                    configuration.setAllowedOrigins(List.of("https://example.com", "https://accounts.google.com"));
                    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
                    configuration.setAllowedHeaders(List.of("*"));
                    configuration.setExposedHeaders(List.of("Authorization")); 
                    configuration.setAllowCredentials(true);
                    return configuration;
                }))
                .csrf(AbstractHttpConfigurer::disable);

        http.sessionManagement(sess -> sess.sessionAuthenticationStrategy(sessionAuthenticationStrategy()));

        // Authorization
        http.authorizeHttpRequests(auth ->
                auth
                        .requestMatchers("/auth/login", "/auth/is-token-valid", "/logout", "/contact", "/quotation/single-quotation/**").permitAll()
                        .anyRequest().authenticated()
        );

        http.oauth2Login(Customizer.withDefaults());
        http.httpBasic(withDefaults());

        // logout
        http.logout(l -> l
                .logoutUrl("/logout")
                .logoutSuccessUrl("/")
                .clearAuthentication(true)
                .deleteCookies("JSESSIONID")
                .invalidateHttpSession(true)
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessHandler((request, response, authentication) -> response.setStatus(HttpServletResponse.SC_OK))
                .addLogoutHandler((request, response, authentication) -> {
                    // Additional logout handler
                }).permitAll());

        http.addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);

        return http.build();
    }

Wie wir sehen, funktioniert der Endpoint "/auth/is-token-valid" ziemlich gut, da er erlaubt ist. Aber z.B. "/auth-data" sollte nicht erlaubt sein, da der User vorerst eingeloggt sein muss. Die 404-Meldungen erhalte ich, obwohl ich mich via OAuth (Google) einlogge.

Derselbe Code funktioniert auf localhost ziemlich gut. Der Fehler taucht nur auf dem Live-Server auf.

Was mache ich falsch?

 

[Oneixee5]

Gibt: userProfileService.getAuthData(token); NULL zurück?

Der Fehler taucht nur auf dem Live-Server auf.

Darf denn der "Live-Server" auf die entsprechenden URL's zugreifen? Ich frage nur, weil man bei uns jede URL explizit freischalten muss.

 

[RezaScript]

Gibt: userProfileService.getAuthData(token); NULL zur

Soweit kommt es gar nicht, denn der Controller wird gar nicht aufgerufen.

Darf denn der "Live-Server" auf die entsprechenden URL's zugreifen? Ich frage nur, weil man bei uns jede URL explizit freischalten muss.

Ja, an und für sich schon. Die Konfigurationen liegen lediglich in SecurityFilterChain und so sieht meine Nginx-Konfiguration aus:

server {
    listen 443 ssl;
    server_name api.example.com;

    ssl_certificate /etc/letsencrypt/live/api.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.example.com/privkey.pem;

    location / {
        # Proxy pass to Spring Boot application
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

 

[Oneixee5]

Das war Quatsch

 

[RezaScript]

Hier sind die Controller zum Vergleich:

@RestController
@RequestMapping("/auth")
@RequiredArgsConstructor
public class AuthController {
    @GetMapping("/is-token-valid")
    public ResponseEntity<Response> isTokenValid(@RequestParam("token") String token) { // Status 200

@RestController
@RequestMapping("/user-profile")
@AllArgsConstructor
public class UserProfileController {
    @GetMapping("/auth-data")
    public ResponseEntity<Response> getAuthData(@RequestHeader("Authorization") String authorizationHeader) { // Status 404

@RequestMapping("/quotation")
@RestController
public class QuotationController {
    @GetMapping(value = "/list")
    public List<AllQuotationsResponse> listQuotations(@ModelAttribute("token") String token) { // Status 404

Also ich habe herausgefunden, dass es an @RequestHeader("Authorization") und @ModelAttribute("token") liegt. Denn wenn ich die Parameter entferne, werden die Controller aufgerufen.

Gut, nun weiss ich wo der Fehler liegt, verstehe aber trotzdem nicht, warum es so ist wie es ist, denn mit configuration.setAllowedHeaders(List.of("*")); erlaube ich ja alle Art von Headers. Die Parameter brauche ich, um den Token zu empfangen. Wie löse ich das?