在Spring Security Java Config中创建多个HTTP部分

Question

使用Spring Security
XML配置，您可以定义多个HTTP元素，以为应用程序的不同部分指定不同的访问规则。8.6高级命名空间配置中给出的示例定义了应用程序的有状态和无状态部分，其中前者使用会话和表单登录，而后者不使用会话和BASIC身份验证：

<!-- Stateless RESTful service using Basic authentication -->
<http pattern="/restful/**" create-session="stateless">
    <intercept-url pattern='/**' access='ROLE_REMOTE' />
    <http-basic />
</http>

<!-- Empty filter chain for the login page -->
<http pattern="/login.htm*" security="none"/>

<!-- Additional filter chain for normal users, matching all other requests -->
<http>
    <intercept-url pattern='/**' access='ROLE_USER' />
    <form-login login-page='/login.htm' default-target-url="/home.htm"/>
    <logout />
</http>

我不知道如何使用Java Config执行相同的操作。重要的是，我禁用会话并为Web服务使用其他入口点。现在，我有以下内容：

@Override
public void configure(WebSecurity security)
{
    security.ignoring().antMatchers("/resource/**", "/favicon.ico");
}

@Override
protected void configure(HttpSecurity security) throws Exception
{
    security
            .authorizeRequests()
                .anyRequest().authenticated()
            .and().formLogin()
                .loginPage("/login").failureUrl("/login?loginFailed")
                .defaultSuccessUrl("/ticket/list")
                .usernameParameter("username")
                .passwordParameter("password")
                .permitAll()
            .and().logout()
                .logoutUrl("/logout").logoutSuccessUrl("/login?loggedOut")
                .invalidateHttpSession(true).deleteCookies("JSESSIONID")
                .permitAll()
            .and().sessionManagement()
                .sessionFixation().changeSessionId()
                .maximumSessions(1).maxSessionsPreventsLogin(true)
                .sessionRegistry(this.sessionRegistryImpl())
            .and().and().csrf()
                .requireCsrfProtectionMatcher((r) -> {
                    String m = r.getMethod();
                    return !r.getServletPath().startsWith("/services/") &&
                            ("POST".equals(m) || "PUT".equals(m) ||
                                    "DELETE".equals(m) || "PATCH".equals(m));
                });
}

使用此功能，我可以为我的Web服务禁用CSRF保护。但是我确实需要一个完整的单独HTTP配置，以便可以禁用会话并指定其他入口点。我知道我可以使用requestMatcher或requestMatchers限制它适用的URI，但是似乎您不能使用它来创建单独的配置。几乎就像我需要
两种 configure(HttpSecurity security)方法一样。

Answer 1

在Spring
Security中，为了模仿<http>Java配置中XML中多个元素的行为，请创建多个用于安全性配置的类。通常它是最好的/最容易制作具有共同的安全配置
的多个内部类 用于安全定义HttpSecurity。请参阅此处的样本。

这里是官方的Spring Security文档中的相关部分：
5.7 Multiple HttpSecurity