Bir Spring uygulaması, denetleyici veya hizmet içindeki bir kesme noktasına ulaşmadan önce 403 ya da 401 yanıtı verdiğinde sorun, geliştiricinin incelemek istediği mantıkta değil, isteğin yürütülmesinden önce devreye giren yetkilendirme katmanında olabilir. IntelliJ IDEA, çalışan uygulamadaki gerçek koruma kurallarını incelemek ve hata ayıklama oturumu sırasında isteğe geçici olarak kimlik ve yetkiler vermek için bir yöntem sunar; bunu SecurityConfig'i değiştirmeden veya uygulamayı yeniden başlatmadan yapabilirsiniz.
Bu özellik, IntelliJ IDEA Ultimate'taki Spring Debugger plugin'inin bir parçasıdır ve 2026.2 sürümünden beri kullanılabilir. Security inlays, uygulama ister yerel olarak ister uzak bir JVM üzerinde çalışsın, hata ayıklayıcı çalışırken varsayılan olarak görünür.
Önce yolun gerçekte ne istediğini öğrenin
Arayüz, düzenleyicide veya HTTP dosyasında uç nokta için rol ve yetki tabanlı gereksinimleri; hasRole ve hasAuthority üzerine kurulu kurallar da dâhil olmak üzere gösterir. IntelliJ IDEA burada yalnızca yapılandırma dosyalarını okumaya dayanmaz; Spring bağlamı başlatıldıktan sonra JVM içindeki gerçek SecurityFilterChain'i inceler. Birden fazla SecurityFilterChain, eşleştirmelerin sırası, etkin profiller veya yapılandırmanın koşullu kaydı nihai sonucu etkilediğinde bu önemlidir.
Özel AuthorizationManager uygulamalarında olduğu gibi belirli bir kural rol listesine dönüştürülemezse, kural ilgili koruma yapılandırması koduna bağlantıyla birlikte bilinmeyen durum olarak gösterilir. Bu durumda rol listesine dayalı otomatik açma kullanılamaz ve SecurityConfig'e başvurmak gerekir.
Hata ayıklama oturumu sırasında yolu geçici olarak açma
Unlock işlemi iki seçenek sunar. İlki, isteği yol için gerekli roller kümesiyle kimliği doğrulanmış kabul ederek iletir; bu, geliştirici korumalı yolun arkasındaki denetleyici veya hizmet mantığını test etmek istediğinde uygundur. İkincisi, belirli bir yetki kümesi altında uygulamanın davranışını test etmek için admin kullanıcı adı ile ROLE_ADMIN ve ROLE_MANAGER gibi özel bir kullanıcı adı ve yetki listesi belirtmeye olanak tanır.
İşlem uygulandığında hata ayıklayıcı, çalışan uygulamanın SecurityContext'i içinde bir TestingAuthenticationToken nesnesi oluşturur. hasRole ve hasAuthority kontrolleri ile SecurityContextHolder.getContext().getAuthentication() ve Principal veya Authentication parametreleri, geliştiricinin belirlediği kimlik ve yetkileri görür. İşlem, uygulama kodunu veya yapılandırma dosyalarını değiştirmez; yeniden başlatma sırasında, Spring Boot DevTools ile işlem içi yeniden başlatma da dâhil olmak üzere, ya da yol manuel olarak kilitlendiğinde tüm açma işlemleri ortadan kalkar.
Etkisi yalnızca IntelliJ IDEA'dan gönderilen istekle sınırlı değildir. Belirli bir yol için GET'in açılması, curl, Postman veya tarayıcı gibi URI'ye ve aynı HTTP yöntemine erişen tüm istemcileri etkiler. Bir yol deseni denetleyici tanımında açılırsa desenle eşleşen tüm değerleri kapsayabilir. Bu nedenle, özellikle uygulama ağ üzerinden erişilebiliyorsa, işlem tamamlanır tamamlanmaz yolu yeniden kilitlemek veya hata ayıklama oturumunu sonlandırmak gerekir.
Unlock neyi aşmaz?
İşlem Spring Security'yi tamamen devre dışı bırakmaz ve CSRF korumasını aşmaz. POST, PUT veya DELETE türündeki bir istek geçerli bir CSRF belirteci gerektiriyorsa CsrfFilter isteği reddetmeye devam edebilir. Ayrıca kapsamı Servlet yığını içindeki AuthorizationFilter üzerinden uç noktaların yetkilendirilmesiyle sınırlıdır; AuthorizationWebFilter kullanan Spring WebFlux desteklenmez.
@PreAuthorize, @PostAuthorize ve @Secured gibi yöntem düzeyindeki koruma gereksinimlerini görüntülemek veya açmak için doğrudan bir arayüz bulunmaz. Bununla birlikte SecurityContext'e enjekte edilen yetkiler daha sonra yöntem koruma aracı tarafından okunabilir; bu nedenle @PreAuthorize ile korunan bir hizmet çağrısı, verilen yetkiler koşulunu karşılıyorsa geçebilir. Bu, IntelliJ IDEA'nın yöntemin kendi korumasını açtığı anlamına gelmez; inceleme aynı yapay kimlik doğrulama bağlamını okumuştur.
Kimlik sınırlamaları ve test araçlarıyla entegrasyon
Hata ayıklayıcının oluşturduğu kimlik, TestingAuthenticationToken içinde metin türünde bir kullanıcı adıdır; uygulamaya ait UserDetails veya özel bir kullanıcı nesnesi türü değildir. Bu nedenle @AuthenticationPrincipal taşıyan bir parametre null döndürebilir; bu, içerik yayımlandığı sırada 2026.2 sürümünü etkileyen IDEA-389767 numaralı bilinen bir sorundur.
Parametre türü olarak Principal veya Authentication kullanılabilir; ancak JwtAuthenticationToken gibi somut bir türe dayanmak, enjekte edilen nesne bu türe ait olmadığı için IllegalStateException oluşmasına neden olabilir. Ayrıca claims veya credentials'a ya da bir oturumla veya belirli bir kimlik doğrulama belirteci türüyle ilişkili kimliğe dayanan bölümlerde sonuçlar farklı olabilir veya işlemler başarısız olabilir.
Açma işlemi, çalışan uygulamanın yolun açıldığı uygulamanın aynısı olması koşuluyla, yerleşik .http dosyasından gelen isteklerle veya curl, Postman ve test çerçeveleriyle çalışır. Ancak otomatik iş akışlarında veya yapay zekâ aracılarına dayalı süreçlerde işlemi yürütmek için şu anda programatik bir anahtar bulunmaz. JetBrains, 2026.3 sürümünde bir MCP aracı ve buna bağlı bir beceri eklemeyi planlıyor; ancak mevcut sürüm IDE içinden ilk olarak manuel bir tıklama gerektirir.
Bu uygulama neden önemlidir?
Buradaki pratik değer korumayı devre dışı bırakmak değil, geliştiricinin test etmek istediği mantıkla yetkilendirme katmanını, başka bir ortama ulaşabilecek ve unutulabilecek geçici yapılandırma dosyası değişiklikleri bırakmadan birbirinden ayırmaktır. Buna karşılık açma işlemi çalışan süreçte yapılan geçici bir güvenlik değişikliğidir; yalnızca IDE isteğiyle sınırlı yerel bir benzetim değildir. Bu nedenle işlem, gerçek kimlik doğrulama testinin yerine geçmeyen, kapsamı kontrollü bir hata ayıklama aracı olarak görülmeli; kullanılmadan önce etkilenen yol, yöntem ve istemciler doğrulanmalıdır.
Ayrıca özellik, uzak bir uygulamada bir yol açıldığında günlüklere mesaj yazmaz ve Actuator üzerinden bir gösterge sunmaz. İçeriğe göre durum yalnızca uygulamaya bağlı IDE içindeki arayüz üzerinden doğrulanabilir. Security inlays'e ihtiyaç duyulmadığında IntelliJ IDEA'nın Registry bölümündeki spring.debugger.security.enabled ayarı kullanılarak devre dışı bırakılabilir.