Spring Security为不安全的URL返回401

Question

从Spring Boot 1.3.3应用程序中使用Spring Security 4.0.3。

该应用程序有两种类型的HTTP内容：“API”是REST API，“UI”是基于web的二手界面（Thymeleaf Spring web MVC）。

应用程序的REST API的大多数endpoint都是安全的，使用的是Basic，但有些endpoint不是，并且应该始终可用。

简化的配置如下所示：

        // In one method, the security config for the "API"
        httpSecurity
                .antMatcher("/api/**")
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER)
                .and()
                .authorizeRequests()
                .antMatchers("/api/ping").permitAll()
                .antMatchers("/api/**").hasRole("USER")
                .and()
                .httpBasic();

        // In another method, the security config for the "UI"
        httpSecurity
                .authorizeRequests()
                .antMatchers("/ui/", "/ui/index.html", "/ui/css/*", "/ui/js/*", "/ui/img/*").permitAll()
                .antMatchers("/ui/user/**").hasRole("USER")
                .antMatchers("/ui/**").denyAll()
                .and()
                .formLogin().loginPage("/ui/login.html").permitAll().failureUrl("/ui/login.html").defaultSuccessUrl("/ui/user/main.html")
                .and()
                .logout().logoutUrl("/ui/logout").permitAll().logoutSuccessUrl("/ui/login.html")
                .and()
                .httpBasic();

对安全endpoint的访问按预期进行。

但当用户提供了无效的基本身份验证时，对公共endpoint（如“../api/ping”）的访问会以401失败。当然，当没有提供基本身份验证或基本身份验证有效时，这样的endpoint可以正常工作。

来自Spring Security的401令人惊讶。我们如何实现一个Spring Security配置，它永远不会为所选endpoint返回任何401或403？

谢谢你抽出时间。

更新1：添加了关于“UI”存在和安全配置的信息

Answer 1

秩序很重要。最具体的规则（路径）首先：

httpSecurity
    .antMatchers("/api/ping").permitAll()
    // and then the rest

这是因为如果在antMatcher（"/api/**")上存在匹配，Spring Security将不会评估后面的规则。