关于Spring security基于URL的安全性的说明[副本]

Question

我有两个RESTendpoint：

1. /noauth/rest/sayhi
2. /rest/auth/getmsg

我想只为/rest/auth/getmsg提供登录，并直接访问/noauth/rest/sayhi。

当我在WebSecurityConfigurerAdapter.Configure(HTTPSecurityHTTP)中使用以下模式时

@EnableWebSecurity
@Configuration
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("Java Techie")
                .password("Password")
                .roles("ADMIN");
        auth
            .inMemoryAuthentication()
                .withUser("Basant")
                .password("Password2")
                .roles("USER");
    }

    @Override 
    protected void configure(HttpSecurity http) throws Exception {
       http
           .authorizeRequests()
               .antMatchers("/rest/**").authenticated()
               .anyRequest().permitAll()
               .and()
           .httpBasic();}
    }
}

我只在/rest/auth/getmsg中得到登录提示，而在/noauth/rest/sayhi中没有得到，这是预期的。

但是当我使用下面的模式时，我得到了/rest/auth/getmsg和/noauth/rest/sayhi的登录提示，这对我来说是非常意外的。

http
    .authorizeRequests()
        .anyRequest().authenticated()
        .antMatchers("/rest/**").permitAll()
        .and()
    .httpBasic();`

我已经知道我做错了什么，所以我想知道为什么我不能只登录/rest/auth/getmsg和直接访问/noauth/rest/sayhi。

更新

@Nully这有一定的意义，但却打破了我对其他情况的理解。假设我使用这个模式：

http
    .authorizeRequests()
        .anyRequest().authenticated()
        .anyRequest().hasRole("ADMIN")
        .and()
    .httpBasic();`

只允许user=“java Techie”登录，因为它是admin并为user=“basant”抛出403 biabled。

但当我用

http
    .authorizeRequests()
        .anyRequest().authenticated()
        .antMatchers("/rest/**").hasRole("ADMIN")
        .and()
    .httpBasic();

根据您的解释，它不应该允许user=“basant”访问/rest/auth/getmsg，因为它具有role=“user”。但实际上它允许我在使用user=“basant”时访问/rest/auth/getmsg。

Answer 1

默认情况下,如果没有其他规则,则需要身份验证。您应该添加类似antmatchers（“/noauth/**”）.PermitAll()的内容。