为静态文件、模板文件和RESTendpoint提供服务，无论是否通过一个应用程序的身份验证

Question

我正在尝试创建一个Spring Boot应用程序（最新版本），它可以：

• 静态HTML、CSS、JavaScript和图像（favicon、jpg、png等）文件
• 基于Thymeleaf模板文件的HTML内容
• RESTendpoint

所有这些都应该能够服务于：

• 没有认证（公共访问）
• 具有身份验证（限制访问）

这意味着应该应用以下映射：

笔记：

1. 需要对用户进行身份验证

我列出了许多endpoint，但这仅仅是因为我无法将所有这些和安全公共/非公共结合起来，并且在互联网上找不到任何将所有这些结合起来的示例。

到目前为止我拥有的：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .cors().and()
                .csrf().disable()
                .authorizeRequests()
                
                // Public static files
                .antMatchers(HttpMethod.GET, "/ui/login", "/ui/forgot", "/ui/media/**", "/ui/style/**", "/ui/script/**").permitAll()
                
                // User static files based on Thymeleaf
                .antMatchers(HttpMethod.GET,"/ui/user/**").hasRole("USER")
                
                // Administration static file
                .antMatchers(HttpMethod.GET,"/ui/admin/**").hasRole("ADMIN")
                
                // Authentication REST endpoints
                .antMatchers(HttpMethod.POST, "/api/auth/login").permitAll()
                .antMatchers(HttpMethod.POST, "/api/auth/forgot").permitAll()
                
                // /api/ping, /api/pong endpoints
                .antMatchers("/api/ping").permitAll()
                .antMatchers("/api/pong").hasAnyRole("USER", "ADMIN")
                
                // /api/v1/** endpoint
                .antMatchers("/api/v1/**").permitAll()
                
                .anyRequest().authenticated().and()
                
                // JWT filter
                .addFilterAfter(new JWTAuthorizationFilter(), UsernamePasswordAuthenticationFilter.class)
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }
    
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring()
                .antMatchers("/resources/**");
    }

}

身份验证过程和RESTendpoint可以工作，但Thymeleafendpoint找不到资源文件，静态文件根本不可访问（甚至是公共的或经过身份验证的）。

在过去的三周里，我尝试了很多组合，我真的快要放弃了。

有人能给我指出正确的方向吗？

Answer 1

将其添加到WebSecurity配置类中

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring()
                .antMatchers("/resources/**", "/static/**", "/css/**");
    }