Spring Boot 2不会忽略permitAll上的授权标头

Question

我的Spring安全配置如下：

@EnableWebSecurity
@Order(1)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable().authorizeRequests()
      .antMatchers("/rest/app/health").permitAll()
      .antMatchers("/*/app/**").authenticated()
      .antMatchers("/**").permitAll().and().httpBasic();
  }

  @Override
  public final void configure(final WebSecurity web) throws Exception {
    super.configure(web);
    web.httpFirewall(new DefaultHttpFirewall());
  }

}

我只包括了spring security，而不是oauth2。由于某些原因，如果有人使用授权头访问任何允许的url，例如/rest/app/health，他将获得401未授权。没有头部的情况下工作正常。

我怎么能忽略授权头，因为我需要这个头作为请求参数来将我的请求委托给第三方服务。

Answer 1

将对通过HttpSecurity配置的所有endpoint执行筛选器。如果不希望筛选器应用于某些endpoint，请将其包含在配置Web安全性的方法中。

你需要改变这种方法

 @Override
  public final void configure(final WebSecurity web) throws Exception {
    super.configure(web);
    web.httpFirewall(new DefaultHttpFirewall());
  }

自：

@Override
    public void configure(WebSecurity web) {
        web.ignoring()
            .antMatchers(HttpMethod.POST, "/rest/app/health");
    }