Spring Boot不支持基本安全性

Question

我正在尝试建立一个带有基本身份验证的普通Spring Boot环境。

基本上，我只想自定义用户、受保护的路径和自定义密码编码器。

Spring Boot留档状态：

要在不更改任何其他自动配置功能的情况下覆盖访问规则，请添加一个带有@Order（SecurityProperties.access_override_Order）的WebConfigurerAdapter类型的@Bean。

注意：我认为WebConfigurerAdapter应该是WebSecurityConfigurer适配器。

所以我尝试了以下方法：

protected static class ApplicationSecurity extends WebSecurityConfigurerAdapter {

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http
            .authorizeRequests()
                .antMatchers("/assets/**").permitAll()
                .antMatchers("/api/**").hasRole("USER")
                .antMatchers("/management/**").hasRole("ADMIN");
        // @formatter:on
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // @formatter:off
        auth
            .inMemoryAuthentication()
                .passwordEncoder(passwordEncoder)
                .withUser("admin")
                    .password(passwordEncoder.encode("pwd"))
                    .roles("USER", "ADMIN")
                    .and()
                .withUser("user")
                    .password(passwordEncoder.encode("pwd"))
                    .roles("USER");
        // @formatter:on
    }
}

默认启动安全性似乎正是我想要的:

security.enable-csrf=false
security.basic.enabled=true 
security.sessions=stateless

但是，当我运行应用程序时，基本身份验证不起作用。

当我在我的 Web 安全配置中显式配置它时使用 http.httpBasic（） 像：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http
            .httpBasic()
                .and()
            .authorizeRequests()
                .antMatchers("/assets/**").permitAll()
                .antMatchers("/api/**").hasRole("USER")
                .antMatchers("/management/**").hasRole("ADMIN");
        // @formatter:on
    }

然后基本身份验证开始工作。

所以上面的初始设置似乎没有采用默认配置。

我错过了什么吗？

Answer 1

每个WebSecurityConfigrer都有自己的过滤器链，带有自己的请求匹配器和安全规则。添加WebSecurityConfigrer（抱歉文档中的错别字）不会改变默认的引导自动配置过滤器链，但它也不会为自己的过滤器链做任何神奇的事情。你需要告诉Spring Security如何保护这些资源——你给了它访问规则，但没有身份验证策略。有道理吗？