Spring Security：仅在尚未通过表单登录验证的情况下验证REST api

Question

全部的

我有一个带有MVC和RESTendpoint的spring boot应用程序。web应用程序的用户使用基于表单的身份验证登录（下面的第一个配置）。还有一些暴露的RESTendpoint将由外部应用程序调用——它们使用JWT（下面的第二种配置）进行身份验证。

一旦用户登录，我想调用RESTendpoint（/api/**），而不需要通过JWT进行身份验证，因为用户已经通过基于表单的身份验证登录。所以我基本上只希望在用户没有经过身份验证的情况下使用JWT身份验证（SecurityContext没有身份验证）。我不知道如何实现这一点。

非常感谢您的帮助。

谢谢

    @Configuration
    @Order(1)
    public static class UserRole1ConfigAdapter extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {

            http
                    .requestMatcher(new NegatedRequestMatcher(new AntPathRequestMatcher("/api/**")))
                    .authorizeRequests()
                    .antMatchers("/userrole1/**")
                        .hasRole(Role.USERROLE1.name())
                        .and()
                    .formLogin()
                        .loginPage("/userrole1/login")
                        .permitAll()
                        .loginProcessingUrl("/userrole1/login")
                        .defaultSuccessUrl("/userrole1/dashboard")
                        .and()
                    .logout()
                        .logoutUrl("/userrole1/logout")
                        .logoutSuccessUrl("/userrole1/login")
                        .invalidateHttpSession(true)
                        .deleteCookies("JSESSIONID")
                        .permitAll();
        }
    }

    @Configuration
    @Order(2)
    public static class RestConfigAdapter extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {

            http
                    .authorizeRequests()
                    .antMatchers("/api/register")
                        .permitAll()
                    .antMatchers("/api/userrole1/**")
                        .hasRole(Role.USERROLE1.name())
                    .antMatchers("/api/userrole2/**")
                        .hasRole(Role.USERROLE2.name())
                    .addFilter(new JwtAuthenticationFilter(authenticationManager(), jwtUtil, jwtConfig))
                    .addFilter(new JwtAuthorizationFilter(jwtUtil, jwtConfig, userDetailsService, authenticationManager()))
                    .sessionManagement()
                        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                        .and()
                    .csrf()
                        .disable();
        }
    }

Answer 1

你已经有了

.antMatchers（“/api/register”）。permitAll（）

这将允许未经验证的请求。您还在寻找什么？