Spring Security-Simple Multi-security现在工作[重复]

Question

我正在处理这个问题，从7个小时前开始，我找不到一个解释，为了简单起见，我只是把例子做得小一点。我需要一些安全访问(JWT)的网址，和一个表单登录的其他路径(仪表板)。

这是我的代码:

@EnableWebSecurity
public class MultiHttpSecurityConfig {

@Autowired
private UserDetailsService jwtUserDetailsService;

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    auth
        .userDetailsService(jwtUserDetailsService)
        .passwordEncoder(passwordEncoder());
}

@Bean
public PasswordEncoder passwordEncoder() {
    return NoOpPasswordEncoder.getInstance();
}

@Configuration
@Order(1)
public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

    @Autowired
    private JwtRequestFilter jwtRequestFilter;

    protected void configure(HttpSecurity http) throws Exception {

        http
            .csrf().disable()
                // Get Request and /Authenticate do not need authentication
            .authorizeRequests()
                .antMatchers("/authenticate", "/authenticate/**").permitAll()
                .antMatchers(HttpMethod.GET, "/api/**").permitAll()
                // all others do need authentication
                .anyRequest().authenticated()
                .and()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        http.addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

@Configuration
public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
            .authorizeRequests()
                .antMatchers("/dashboard/index.html").authenticated()
                .and()
            .formLogin();
    }
}

此示例有效，JWT 机制效果很好。它唯一不起作用的是表单登录。当我点击浏览器 localhost:8080/dashboard/index.html 时，该文件出现。

这就是我需要的：

/授权，授权--

/api接口--

/api接口--

/dashboard/index.html-

我知道anyRequest（）.authenticated（），它在第一个配置中，但如果我什至评论该行，则完全忽略了第二个顺序。

我应该添加或删除什么来完成我的想法？

Answer 1

在您的FormLoginWebSecurityConfigrerAdapter中，antMatcher（）应该在授权请求（）之前调用-这表明此过滤器链仅将请求应用于/dashboard/index. html。

http.antMatcher("/dashboard/index.html")
    .authorizeRequests()
        .anyRequest().authenticated() // since this filter chain only apply to /dashboard/index.html, don't need use antMatchers() to check again
        .and()
    .formLogin();

更多信息： https://docs.spring.io/spring-security/site/docs/current/reference/html5/#multiple-httpsecurity

第二个问题是FormLoginWebSecurityConfigurerAdapter的顺序必须早于（小于）ApiWebSecurityConfigurationAdapterWebSecurityConfigurerAdapter的默认@Order为100，因此您应该在FormLoginWebSecurityConfigurerAdapter上注释@Order（0）。