防止Spring Boot注册Spring Security过滤器之一

Question

我想禁用安全链中的一个Spring Security过滤器。

我已经看到了阻止Spring Boot注册servlet筛选器的问题--接受应该有效，但不幸的是不行。

使用代码：

    @Bean
    public FilterRegistrationBean registration(AnonymousAuthenticationFilter filter) {
        FilterRegistrationBean registration = new FilterRegistrationBean(filter);
        registration.setEnabled(false);
        return registration;
    }

春靴会及时宣布没有排位豆，可悲：

原因：org.springframework.beans.factory.NosuchBeanDefinitionException：找不到依赖项得[org.springframework.security.web.authentication.anonymousauthenticationfilter]类型得合格bean：需要至少一个符合此依赖项自动候选条件得bean.依赖项批注：{}

创建另一个bean后：

    @SuppressWarnings("deprecation") // Oh, there be dragons
    @Bean
    public AnonymousAuthenticationFilter anonymousAuthenticationFilter() {
        return new AnonymousAuthenticationFilter();
    }

我被攻击了

原因：java.lang.IllegalArgumentException:[Assertion failed]-此字符串参数必须有长度；不能为空或为空

这是完全不稳定的；afterPropertiesSet()方法https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/authentication/anonymousauthenticationfilter.java中的assert阻止了我使用默认构造函数。使用另一种方法：

    @Bean
    public AnonymousAuthenticationFilter anonymousAuthenticationFilter() {
        // it will be disabled anyway so...
        return new AnonymousAuthenticationFilter("_", new Object(), new ArrayList<GrantedAuthority>());
    }

一切都好得多：

信息4916---[ost-startStop-1]O.S.B.C.Embedded.FilterRegistrationBean：未注册筛选器anonymousAuthenticationFilter（已禁用）

调试4916---[ost-startStop-1]o.security.web.FilterChainProxy：正在初始化筛选器“Spring SecurityFilterChain”

调试4916---[ost-startStop-1]o.security.web.FilterChainProxy：筛选器“Spring SecurityFilterChain”配置成功

但在访问了一些资源后，我得到了：

调试4916---[nio-8080-exec-3]O.Security.web.filterChainProxy：/user位于附加筛选器链中13个位置的第10个位置；正在激发筛选器：“AnonymousAuthenticationFilter”

调试4916---[nio-8080-exec-3]O.S.S.W.A.AnonymousAuthenticationFilter：使用匿名令牌填充SecurityContextHolder：'org.springframework.security.Authentication.AnonymousAuthenticationToken@90572420:principal:AnonymousUser；全权证书:[受保护]；已认证：真实；详细信息:org.springframework.security.web.authentication.webauthenticationdetails@255f8:RemoteIpAddress:127.0.0.1；SessionID:6B9D974A4634548750FE78C18F62A6B0；授予的权限:role_anonymous'

由于某种原因，AnonymousAuthenticationFilter仍在工作。问题是：在Spring Boot应用程序中有没有一种方法可以禁用这样的过滤器？

Answer 1

Spring Security捆绑了HttpSecurity配置中的所有过滤器。要禁用匿名身份验证,请使用以下操作：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .anonymous().disable()
            ...
    }
    ...
}

如果希望禁用Spring Security中的所有默认值，可以将true传递到父类构造函数中以禁用默认值。例如：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    public SecurityConfig() {
        super(true);
    }
    ...
}