Spring拦截网址配置中的ROLE_USER和ROLE_ANONYMOUS有什么区别？

Question

在Spring拦截url配置中，ROLE_USER和ROLE_ANONYMOUS之间有什么区别（例如以下示例）？

<http auto-config="false" access-decision-manager-ref="accessDecisionManager"
    use-expressions="true">
    <intercept-url pattern="/admin/**" access="hasRole('ROLE_ANONYMOUS')"
        requires-channel="http" />
    <intercept-url pattern="/login/**" access="hasRole('ROLE_ANONYMOUS')"
        requires-channel="${application.secureChannel}" />
    <intercept-url pattern="/error/**" access="hasRole('ROLE_ANONYMOUS')"
        requires-channel="http" />
    <intercept-url pattern="/register/**" access="hasRole('ROLE_ANONYMOUS')"
        requires-channel="${application.secureChannel}" />
    <intercept-url pattern="/" access="hasRole('ROLE_ANONYMOUS')"
        requires-channel="http" />
    <intercept-url pattern="/**" access="hasRole('ROLE_USER')"
        requires-channel="http" />
    <form-login login-page="/login" login-processing-url="/login/submit"
        authentication-failure-url="/login/error" />
    <logout logout-url="/logout" />
</http>

Answer 1

当配置使用Spring Security的“匿名身份验证”过滤器时，ROLE_ANONYMOUS是分配给未经身份验证的（匿名）用户的默认角色。默认情况下启用。但是，如果使用具有相同含义的表达式
isAnonymous（） 可能会更清楚。

ROLE_USER没有任何意义，除非您在用户经过身份验证时将其分配给用户（您负责为经过身份验证的用户加载角色（权限））。它不是Spring
Security的基础结构中内置的名称。在给定的示例中，假定该角色已分配给经过身份验证的用户。