Spring Security HttpSecurity配置

Question

我试图理解RequestMatcher、AntMatcher等是如何工作的。我读了一些帖子，了解了基础知识。实际上，我有一个简单的基本配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.requestMatchers() //1
        .antMatchers("/login", "/oauth/authorize") //2
        .and() //3
        .authorizeRequests() //4
        .anyRequest() //5
        .authenticated() //6;

我真的不明白第1、2、3点。根据我的理解，这意味着/login和/oauth/authorize的请求是映射的，应该是授权请求。所有其他请求都需要authenticatoin。

@Override
protected void configure(HttpSecurity http) throws Exception { // @formatter:off
      http
       .authorizeRequests() //1
        .antMatchers("/login", "/oauth/authorize", "/img/**").permitAll() //2
        .anyRequest() //3
        .authenticated() //4

从我的角度来看，这应该是与第一个配置相同的逻辑。但实际上endpoint/user/me不再可访问。

我非常感谢你的澄清

更新1：

@Override
protected void configure(HttpSecurity http) throws Exception { // @formatter:off
    http
        .requestMatchers()
           .antMatchers("/", "/login", "/oauth/authorize", 
               "/main", "/logout-success", "/single-logout",
               "/password_forgotten", "/enter_new_password", "/img/**",
               "/logout", "/access_denied")
            .and().authorizeRequests()
                .antMatchers("/img/**", "/logout-success", "/password_forgotten",
                    "/enter_new_password", "/access_denied").permitAll()
            .requestMatchers(SecurityUtils::isFrameworkInternalRequest).permitAll()
            .and()
            .authorizeRequests()
            .anyRequest()
            .authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .failureUrl("/login?error")
            .defaultSuccessUrl("/main")
            .permitAll()
            .and()
            .logout()
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .logoutSuccessUrl("/logout-success")
            .deleteCookies("JSESSIONID")
            .invalidateHttpSession(true)
            .and()
            .exceptionHandling()
            .accessDeniedPage("/access_denied")
            .authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
            .and().csrf().disable();

<oauth>
<error_description>
Vollständige Authentifikation wird benötigt um auf diese Resource zuzugreifen
</error_description>
<error>unauthorized</error>
</oauth>

这是可以的，但意味着任何ohter SecurityFilterChain发生在这个URL上，对吗？

Answer 1

RequestMatchers()配置URL是否将由该SecurityFilterChain处理。因此，如果一个URL与它不匹配，整个SecurityFilterChain将被跳过，这意味着Spring Security在此之后将不再处理此URL。如果不对其进行配置，则默认为匹配所有URL。

authorizerequests()配置URL的授权内容，比如是否需要进行身份验证，或者只有某些角色可以访问它，等等。它只对由SecurityFilterChain处理的URL（即由RequestMatchers()匹配的URL）有效

那么，回到第一个例子：

  http.requestMatchers() //1
        .antMatchers("/login", "/oauth/authorize") //2
        .and() //3
        .authorizeRequests() //4
        .anyRequest() //5
        .authenticated() //6;

这意味着此SecurityFilterChain只对/login和/oauth/authorize有效。这两个URL都需要经过身份验证。此SecurityFilterChain将不处理所有其他URL。因此，是否需要对/user/me进行身份验证与Spring Security性无关。

http
       .authorizeRequests() //1
        .antMatchers("/login", "/oauth/authorize", "/img/**").permitAll() //2
        .anyRequest() //3
        .authenticated() //4

这意味着所有URL都将由这个SecurityFilterChain处理（默认值为RequestMatchers())。/login、/oauth/authorize和/img/**不需要任何授权。其他URL需要进行身份验证。