限制restapi方法，但在springboot项目中GET除外

Question

我用SpringBoot做了一个RESTAPI项目。控制器中有各种标准方法，如get、post、put和delete。

我的目标是使我能够通过angular应用程序仅访问api调用（get调用除外）。其他方法（post、put和delete）无法从外部访问。

我试图用WebSecurityConfigureAdapter和configure函数来解决这个问题，但我没有得到它。当我第一次在pom上导入安全依赖项（spring boot starter security）时。xml，然后所有方法都被阻止。我尝试在configure方法中允许get调用，但随后无法使用basic auth over postman进行post调用。每次我都犯了403个禁止的错误。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring()
            .antMatchers(HttpMethod.GET)
            .antMatchers("/h2-console/**")
            .antMatchers("/login/**");
    }
    
}

顺便说一下，我想在application.properties文件中为Spring安全创建自己的用户名和密码。但是我认为如果我使用一个SecurityConfig配置文件，这是行不通的。

spring.security.user.name=myUsername
spring.security.user.password=myPassword

不管我怎么做，我怎么能从最短最简单的方法得到这个呢？那么我如何从我的angular应用程序中调用阻塞的方法（post、put、delete）？

谢谢。

Answer 1

如果我没有弄错的话，您希望您的项目对GET方法没有访问限制，并且每个人都应该可以访问此方法类型。

所有剩余的请求（发布、放置、删除等）都可以通过身份验证进行访问。

您可以通过以下方式实现这一点。假设您有一个如下所示的控制器：

@RestController
@RequestMapping("security")
public class SecurityController {

    @GetMapping("get")
    public ResponseEntity<String> get() {
        return ResponseEntity.ok("Get Method");
    }

    @PostMapping("post")
    public ResponseEntity<String> post() {
        return ResponseEntity.ok("Post Method");
    }

    @PutMapping("put")
    public ResponseEntity<String> put() {
        return ResponseEntity.ok("Put Method");
    }

    @DeleteMapping("delete")
    public ResponseEntity<String> delete() {
        return ResponseEntity.ok("delete");
    }

}

在这种情况下，您的WebSecurityConfigrer应该如下所示：

@EnableWebSecurity
public class WebSecurityConfigurer extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests()
                .antMatchers(HttpMethod.GET).permitAll()
                .anyRequest().authenticated().and().httpBasic();
    }
}

这里要做的第一件事是确定GET，这是一种超文本传输协议方法，可以在没有任何授权的情况下访问。然后，它授权其余的Httpmethod的访问。最后，我们指定使用Basic Auth和http pBasic（）。此信息由用户名和密码信息组成，这些信息在您的application.properties文件中定义。

通过检查此处的问题，您可以看到HttpSecurity和WebSecurity之间的区别。

我希望这个答案对你有帮助。