Spring Security：注册新用户的公共API

Question

我有一个用例，我想将HTTP POSTauserName作为JSON到我的服务，然后服务应该注册一个新用户（使用给定的userName和自动生成的密码）。

数据

{
"userName": "Sia"
}

我正在使用Spring Security，我面临的问题是：

每当我尝试HTTP POST用户名时，该服务已经要求身份验证（用户名和密码）。这不是我想要的原因。我希望注册 API 是完全公开的。这意味着每个人（未经授权）都可以HTTP POST一个新的用户名，从而“打开帐户”。

我不确定我怎样才能达到想要的行为。服务的一部分应该是公共的(就像上面描述的创建一个新用户一样)，而有些部分确实应该需要认证(在描述的公共< code>POST过程中创建的用户的认证)。有什么建议吗？

pom.xml

  <dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
  </dependencies>

UserController.java

@Autowired
private UserService service;    

@RequestMapping(method = RequestMethod.POST, value = "/user")
public void register(@PathVariable String userName) {
    System.err.println("!!!!!!!!!!!"); // this line never gets executed

    service.save(userName);
}

UserService.java

public void save(String userName) {     
    String password = pwGenerator.generate();       
    repository.save(new User(userName, password));
}

Answer 1

您可以在您的安全配置中拥有一个所有人都允许的URL：

.antMatchers("/user").permitAll()

如果您遇到CSRF保护问题，您可以使用

@Override
protected void configure(HttpSecurity http) throws Exception {

    // Build the request matcher for CSFR protection
    RequestMatcher csrfRequestMatcher = new RequestMatcher() {

        // Always allow the HTTP GET method

        // Disable CSFR protection on the following urls:
        private AntPathRequestMatcher[] requestMatchers = {
                new AntPathRequestMatcher("/user") };

        @Override
        public boolean matches(HttpServletRequest request) {

            if (request.getMethod().matches(GET_METHOD_REGEX))
                return false;

            for (AntPathRequestMatcher rm : requestMatchers) {
                if (rm.matches(request)) {
                    return false;
                }
            }
            return true;
        } // method matches

    }; // new RequestMatcher

并在 http 配置中使用上述内容。

http.csrf().requireCsrfProtectionMatcher(csrfRequestMatcher)

Answer 2

您可以尝试下面的代码，以允许/user通过spring security发布请求。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(final HttpSecurity http) throws Exception {

        http.authorizeRequests()
             .antMatchers(HttpMethod.POST, "/user") 
               .permitAll().anyRequest().authenticated();

    }
}