Spring Security多个URL规则集无法一起使用

Question

我有一个HTTP Spring Security配置，当我注释掉各个方面时似乎可以使用，但是当我将Spring
Security规则组合在一起时它不起作用，所以我知道问题不在于regexMatcher或，antMatcher而是与所应用的规则有关。组合。

这是我的Spring Security课程：

package com.driver.website.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.csrf.CsrfTokenRepository;
import org.springframework.security.web.csrf.HttpSessionCsrfTokenRepository;
import org.springframework.security.web.header.writers.StaticHeadersWriter;
import org.springframework.security.web.header.writers.frameoptions.XFrameOptionsHeaderWriter;
import org.springframework.security.web.util.matcher.RequestMatcher;

import javax.servlet.http.HttpServletRequest;
import java.security.AccessControlContext;

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${widget.headers.xframeoptions.domains.allowed}")
    private String allowedXFrameOptions;

    @Value("${widget.headers.origins.allowed}")
    private String allowedOrigins;

    @Override
    public void configure(HttpSecurity http) throws Exception {
        // @formatter:off

        http.exceptionHandling().accessDeniedPage("/login")
                .and()
                .formLogin().loginPage("/login").defaultSuccessUrl("/myaccount", true).permitAll()
                .and()
                .authorizeRequests()
                .antMatchers("/**").permitAll();

        http.regexMatcher("^((?!(/widget|/assistedSearch)).)*$")
                .headers().frameOptions().disable()
                .regexMatcher("^((?!(/widget|/assistedSearch)).)*$")
                .headers()
                .xssProtection()
                .contentTypeOptions()
                .addHeaderWriter(new StaticHeadersWriter("X-FRAME-OPTIONS", "SAMEORIGIN"));

        http.antMatcher("/widget")
            .headers()
            .frameOptions()
            .disable()
            .antMatcher("/widget")
            .headers()
            .addHeaderWriter(new StaticHeadersWriter("X-FRAME-OPTIONS", "ALLOW-FROM " + allowedXFrameOptions));

        http.requestMatchers().antMatchers("/assistedSearch", "/widget")
            .and()
            .headers()
            .addHeaderWriter(new StaticHeadersWriter("Access-Control-Allow-Origin", allowedOrigins))
            .addHeaderWriter(new StaticHeadersWriter("Access-Control-Allow-Methods", "GET, POST"))
            .addHeaderWriter(new StaticHeadersWriter("Access-Control-Allow-Headers", "Content-Type"));

        // @formatter:on
    }
}

规则应该是…

• 对于所有网址，但不包括/ widget和/ assistedSearch，我们应添加SAMEORIGIN X-Frame-Options标头
• 对于/widget端点，我们应该添加X-Frame-Options：ALLOW-FROM标头
• 对于/widget和/assistedSearch终点，我们应该添加Access-Control-Allow-Origin，Access-Control-Allow-Methods和Access-Control-Allow-Headers头

正如我上面提到的，如果我注释掉For all urls规则集，那么其他两个将齐头并进，但是在不For all urls注释规则的情况下，没有任何标题出现。

有谁知道为什么会这样？如何在Spring Security中添加多个规则集，并用新规则集覆盖现有规则集？

我试过了

http.antMatcher("/widget")
    .headers()
    .frameOptions()
    .disable()

这似乎再次可以单独使用，但不能结合使用。

提前致谢！

Answer 1

您将覆盖以前的匹配器，请参阅HttpSecurity.html＃antMatcher：

调用antMatcher(String)将覆盖以前调用mvcMatcher(String)}，requestMatchers()，antMatcher(String)，regexMatcher(String)，和requestMatcher(RequestMatcher)。

和HttpSecurity.html＃regexMatcher：

调用regexMatcher(String)将覆盖以前调用mvcMatcher(String)}，requestMatchers()，antMatcher(String)，regexMatcher(String)，和requestMatcher(RequestMatcher)。

如果您需要多个配置HttpSecurity，请参阅Spring
Security Reference
：

我们可以配置多个HttpSecurity实例，就像我们可以具有多个<http>块一样。关键是要扩展WebSecurityConfigurationAdapter多次。例如，以下是对以开头的URL具有不同配置的示例/api/。

>     @EnableWebSecurity
>     public class MultiHttpSecurityConfig {
>       @Autowired
>       public void configureGlobal(AuthenticationManagerBuilder auth) { 1
>           auth
>               .inMemoryAuthentication()
>                   .withUser("user").password("password").roles("USER").and()
>                   .withUser("admin").password("password").roles("USER",
> "ADMIN");
>       }
>  
>       @Configuration
>       @Order(1)                                                        2
>       public static class ApiWebSecurityConfigurationAdapter extends
> WebSecurityConfigurerAdapter {
>           protected void configure(HttpSecurity http) throws Exception {
>               http
>                   .antMatcher("/api/**")                               3
>                   .authorizeRequests()
>                       .anyRequest().hasRole("ADMIN")
>                       .and()
>                   .httpBasic();
>           }
>       }
>  
>       @Configuration                                                   4
>       public static class FormLoginWebSecurityConfigurerAdapter extends
> WebSecurityConfigurerAdapter {
>  
>           @Override
>           protected void configure(HttpSecurity http) throws Exception {
>               http
>                   .authorizeRequests()
>                       .anyRequest().authenticated()
>                       .and()
>                   .formLogin();
>           }
>       }
>     }