Spring Boot 2.0.2 Spring Security如何禁用两个endpoint的自定义表单登录

Question

编辑：

在尝试了几天的各种安全配置更改之后，我把。permitall（）放在每个应该授权/验证任何请求的endpoint上。但即便如此，尽管我可以自由地“浏览”任何页面而无需验证，但我的设备客户端仍然无法向其正常的应用程序endpoint提交PUT请求。

所以现在的问题是，为什么远程客户机可以成功地向运行在1.5.4 Spring Boot版本上的应用程序提交PUT请求，而当“相同的应用程序”运行在Spring Boot 2.0.2时却不能？

我得到了一个成功的“健康检查”响应（“启动并像往常一样运行...”）当我用浏览器的GET请求击中相同的“设备”endpoint时。但是客户机设备在尝试放置时只得到err_connection_delection（或类似的）。

/编辑

这个问题与我几天前问过的Web套接字迁移有关，但Web套接字部分被证明是一个转移注意力的问题。

    springBootVersion = '2.0.2.RELEASE'
    springVersion = '5.0.13.RELEASE'
    springSecurityVersion = '5.2.1.RELEASE'

@Configuration
@EnableWebSecurity
//@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
@Order(1)// highest priority
class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    SimpleAuthenticationManager sam;

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        // false means go to original destination page after login success
        boolean alwaysRedirectToSuccessUrl = false;

        http.headers().cacheControl().disable();
        http.headers().frameOptions().sameOrigin();
        http.csrf().ignoringAntMatchers("/input/auth/**");// ignoring WebSocket endpoints (secured by other means)
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.ALWAYS);
        http.authorizeRequests()
            .antMatchers('/widgetInfo/**', '/stats', '/errorCodes').hasAuthority('USER').anyRequest().fullyAuthenticated()
        http.formLogin()
            .loginPage('/widgetInfo/login')
            .loginProcessingUrl("/widgetInfo/fooInfo")
            .defaultSuccessUrl("/widgetInfo/fooInfo", alwaysRedirectToSuccessUrl)
            .failureUrl("/widgetInfo/login?status=LOGIN_FAILURE").permitAll()
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers('/webjars/**', '/static/**', '/css/**', '/js/**', '/input/**');
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.parentAuthenticationManager(sam)
    }
}

@Configuration
@EnableWebSecurity
@Order(11)// lowest priority
class LenientWebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.csrf().ignoringAntMatchers("/input/auth/**");// ignoring WebSocket endpoints (secured by other means)
        http.authorizeRequests().antMatchers('/input', 'input/auth', '/input/**').permitAll()

    }
}

但是它不起作用，/inputendpoint还不能自由访问。问题是什么？

如果我交换@Order，那么我的自定义表单登录就不会发生任何事情。

Answer 1

在这里回答只是为了给可能在这里着陆的未来用户闭环。

问题是Spring Boot1.5.4可以接受“HTTP1.1”请求，而Spring Boot2.0.2不能。

我们的应用程序位于F5设备后面，如果/当应用程序“HealthCheck”请求失败时，该设备拒绝入站请求。这是在1.5.4中工作的“HealthCheck”请求

GET /myGateway/input HTTP/1.1\r\n

GET /myGateway/input \r\n