存在授权头时仍执行Spring Security忽略路径筛选器

Question

我已经建立了一个完全工作的Spring Security流程，其中一些路径需要验证（通过令牌），而其他路径我希望保持开放和可访问，而不需要令牌。我遇到的问题是，当一个请求没有authorization头而进入其中一个开放路径时，筛选器将被忽略，并生成正确的响应。但是，当authorization头存在时，即使在忽略的路径上，请求也会通过整个安全筛选器链，而理想的过程是完全跳过筛选器链。

下面是我的配置。

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring()
                .antMatchers(DEFAULT_IGNORE_REQUESTS);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        authenticationTokenHeaderFilter.setAuthenticationManager(authenticationManager);
        http.authorizeRequests()
                .antMatchers("/example/**")
                    .authenticated()
            .and()
                .exceptionHandling()
                .accessDeniedHandler((request, response, accessDeniedException) -> {
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, accessDeniedException.getMessage());
                })
                .authenticationEntryPoint(new HttpAuthenticationEntryPoint())
            .and()
                .sessionManagement()
                    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
                .cors()
            .and()
                .csrf().disable()
                .addFilter(authenticationTokenHeaderFilter)
                .addFilterBefore(new ExceptionTranslationFilter(
                                new Http403ForbiddenEntryPoint()),
                        authenticationTokenHeaderFilter.getClass()
                );
    }

public class AuthenticationTokenHeaderFilter extends AbstractPreAuthenticatedProcessingFilter {
    @Override
    protected Object getPreAuthenticatedPrincipal(HttpServletRequest httpServletRequest) {
        return httpServletRequest.getHeader(HttpHeaders.AUTHORIZATION);
    }

    @Override
    protected Object getPreAuthenticatedCredentials(HttpServletRequest httpServletRequest) {
        return "N/A";
    }

    @Override
    @Autowired
    public void setAuthenticationManager(AuthenticationManager authenticationManager) {
        super.setAuthenticationManager(authenticationManager);
    }
}

此外，我还尝试使用PermitAll()将忽略的路径放入HttpSecurity中，但没有成功。

String[] DEFAULT_IGNORE_REQUESTS = new String[]{ "/actuator" };

当我在没有authorization头的情况下发出请求时，不会调用安全链。当我发出具有authorization头的请求时，将调用安全链并验证authorization值（令牌）。在令牌无效的情况下，将在筛选器内抛出一个自定义异常。即使抛出了错误，我还是从/acture得到了预期的响应，结果是200。但是，在这种情况下，抛出的错误会被记录下来，并生成堆栈跟踪，我不希望这样做，因为在这种情况下它不是错误。

Answer 1

在Spring Boot中，任何filter类型的@bean都将作为servlet过滤器添加。最有可能发生的情况是，您的过滤器被添加为一个完全独立于过滤器链的过滤器。

您可以在WebSecurityConfigurerAdapter中初始化AuthenticationTokenHeaderFilter，并直接设置AuthenticationManager，而不是将过滤器声明为@bean（您已经这样做了）。因此可以删除筛选器中的@autowired批注。