Spring安全对抗器未按预期工作

Question

我有自定义控制器“/my-endpoint”和spring应用程序，其配置如下：

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/my-endpoint", "/health")
                .permitAll()
                .antMatchers(DENY_RESOURCE_PATTERNS)
                .denyAll()
                .anyRequest()
                .authenticated()

    }

似乎对于一个一致的用户来说，它工作得很好。但是如果我已经授权（使用oauth2)，并且我的会话（或令牌）过期了->spring尝试将我重定向到登录页面。

有趣的是，内置endpoint“/health”按预期工作，即使会话过期。

Answer 1

您可以使用configure（WebSecurity web)。它将绕过Spring Security过滤器，并允许任何用户访问endpoint。参见HttpSecurity vs WebSecurity

@Override
    public void configure(WebSecurity web) throws Exception {
        web
          .ignoring()
            .antMatchers(HttpMethod.yourMethod, "/health")
            .antMatchers(HttpMethod.yourMethod, "/my-endpoint");
    }