禁用执行器运行状况终结点的webflux（reactive）安全性

Question

我有一个WebFlux、Health Actuctor和Spring Security的项目。我正在尝试构建自定义身份验证，但该身份验证也会在健康执行器endpoint上发挥作用。我怎样才能禁用它？

根据文档，我实现了一个自定义的ServerSecurityContextrepository，下面是它的基本版本：

@Component
class MySecurityContextRepository: ServerSecurityContextRepository {
    override fun save(exchange: ServerWebExchange?, context: SecurityContext?) = Mono.empty()

    override fun load(exchange: ServerWebExchange) = Mono.error(ResponseStatusException(HttpStatus.UNAUTHORIZED, "Access denied"))
}

根据文档，不应该要求我进行任何额外的配置来禁用健康endpoint上的身份验证。以下是application.yml中的配置：

management:
  metrics:
        web:
          server:
            auto-time-requests: true
            requests-metric-name: xxx-xxx-xxx
        export:
          statsd:
            enabled: xxxx
            host: xxxxxxxxxxxx
            flavor: xxx
  endpoint:
      health:
        enabled: true
  endpoints:
      web:
          base-path: /application

@EnableWebFluxSecurity
class SecurityConfig @Autowired constructor(
        private val myRepository: MySecurityContextRepository
) {
    @Bean
    fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
        http.securityContextRepository(myRepository)
        http.authorizeExchange()
                .pathMatchers("/application/health").permitAll()
                .anyExchange().permitAll()

        http.cors().disable()
        http.csrf().disable()
        http.formLogin().disable()

        return http.build()
    }
}

尽管添加了此功能，但curl http：//localhost:8080/application/health/仍会导致{“name”：“xxxxxx”，“message”：“unknown error”，“response”：“401 UNAUTHORIZED\”“}状态代码也是401。如何禁用我的健康终结点的授权？

Answer 1

因此，在没有任何帮助之后，我开始查看源代码，结果发现ServerSecurityContextrepository总是为HealthEndpoint和InfoEndpoint调用，所以我自己添加了跳过repository中身份验证检查的逻辑。您可以轻松地执行以下操作：

val HEALTH_ENDPOINTS = EndpointRequest.to(HealthEndpoint::class.java, InfoEndpoint::class.java)

现在可以执行以下操作：

            return HEALTH_ENDPOINTS.matches(exchange).flatMap { matches ->
                if (matches.isMatch) {
                    Mono.just(SecurityContextImpl(GuestAuthToken))
                } else {
                    Mono.empty()
                }
            }

这样，我就不会硬编码存储库中的任何路径。虽然不是很理想，但可以完成任务。