Spring Boot Security禁用特定URL的Web安全性

Question

我将Spring security用于包含一组Restful服务的Spring启动应用程序。我已经通过基本身份验证启用了网络安全。我希望启用基本的身份验证，除了以特定模式结尾的特定API URL。（例如，healthcheck API，如：/application/_healthcheck）

代码如下所示：

@Configuration
@EnableWebSecurity
public class ApplicationWebSecurityConfigurer extends WebSecurityConfigurerAdapter {

    @Autowired
    private AuthenticationEntryPoint authEntryPoint;

    @Value("${application.security.authentication.username}")
    private String username;

    @Value("${application.security.authentication.password}")
    private String password;

    @Override
    protected void configure(final HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and().httpBasic()
                .authenticationEntryPoint(authEntryPoint);
    }

    @Autowired
    public void configureGlobal(final AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser(username).password(password).roles("USER");
    }

    @Override
    public void configure(final WebSecurity web) throws Exception {
        web.ignoring().antMatchers("*/_healthcheck");
    }
}

然而，每当我调用/应用程序/_HealthCheckURL，浏览器总是提示我输入凭据。

或者，我甚至试图从Spring boot的应用程序中忽略这个路径。属性（删除了web.ignering（）的configure方法。antMatchers（“*/_healthcheck”）），但仍然无法摆脱此endpoint的身份验证

security.ignored=/_healthcheck,*/_healthcheck

Answer 1

试试这个。这将跳过健康URL的身份验证部分。

@Override
protected void configure(final HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("*/_healthcheck").permitAll() // added this line
                .anyRequest().authenticated()
                .and().httpBasic()
                .authenticationEntryPoint(authEntryPoint);
}

Answer 2

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/application/_healthcheck");
}

上面的示例和您的代码的区别是使用webover超文本传输协议。尝试使用web，看看它是否工作{实际上它应该：）}。

Answer 3

您可以创建一个权限列表，并使用它来禁用安全性。

List<String> permitAllEndpointList = Arrays.asList(
            AUTHENTICATION_URL,
            REFRESH_TOKEN_URL,
            EXTERNAL_AUTH_URL,
            "/swagger-resources",
            "/swagger-resources/**",
            "/swagger-ui.html"
);

然后将此语句添加到HttpSecurity对象中

.and()
.authorizeRequests()
.antMatchers(permitAllEndpointList.toArray(new String[permitAllEndpointList.size()]))
.permitAll()

这将解决你的问题。