Spring Boot 2：如果附加了授权头，基本Http身份验证会导致未受保护的endpoint响应401“未授权”

Question

在迁移到Spring Boot 2并为执行器和另一个控制endpoint的应用程序添加基本授权要求后，无法使用Authure标头调用任何未受保护的endpoint。

配置片段：

@Override
public void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
            .authorizeRequests()
            .requestMatchers(EndpointRequest.to("shutdown")).fullyAuthenticated()
            .antMatchers("/payment/status/*").fullyAuthenticated()
            .and().httpBasic();
}

例如。使用“授权：基本...”调用.../Health将导致401“未授权”，即使它没有受到Spring Security保护。

问题：我如何调整配置，以便可以将带有授权标头的请求发送到任何不受保护的endpoint而不会被拒绝？

UPD：此修复程序按我想要的方式工作

@Override
public void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
            .authorizeRequests()
            .requestMatchers(EndpointRequest.to("shutdown")).fullyAuthenticated()
            .antMatchers("/payment/status/*").fullyAuthenticated()
            .antMatchers("/payment/**").permitAll()
            .and().httpBasic();
}

< strike> UPD2:没关系，刚刚测试了另一个请求，仍然收到401“未授权”。

curl localhost:8080/payment/<any_endpoint> -H "Authorization: Basic asdadas"
{"code":401,"message":"Unauthorized"}

不幸的是，这种方法覆盖了HttpSecurity匹配器，例如：/payment/变得可访问

@Override
public void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
            .authorizeRequests()
            .requestMatchers(EndpointRequest.to("shutdown")).fullyAuthenticated()
            .antMatchers("/payment/status/*").fullyAuthenticated()
            .and().httpBasic();
}

@Override
public void configure(WebSecurity webSecurity) throws Exception {
    webSecurity.ignoring().antMatchers("/payment/**");
}

UPD 3：我创建了一个简单的项目，这个问题正在复制https://github.com/Anoobizzz/SpringSecurity2BasicAuthDemo

< Li >/内部

Answer 1

在使用spring security oauth2库时发现了一个解决方案。对我来说，它在org . spring framework . security . oauth 2 . provider . authentication . oauth 2 authenticationprocessingfilter中出错。

我通过重新配置这个解决了这个问题;

OAuth2AuthenticationProcessingFilter.setTokenExtractor(myTokenExtractor)

我的代币提取器我是这样实现的

public class MyTokenExtractor implements TokenExtractor {

private final BearerTokenExtractor bearerTokenExtractor = new BearerTokenExtractor()
@Overide
public Authentication extract(HttpServletRequest request) {
  String requestURI = request.getRequestURI();
  if (requestURI.startsWith("/someuri") {
    return null;
  }
  return bearerTokenExtractor.extract(request);
}

Answer 2

通过调用. AuthizeRequest（），您可以强制对所有这些请求进行授权，因为您没有在某些匹配器上调用.（）。

我建议在 ** 匹配器上使用 ignore，然后在 allow-all 层之上对指定的匹配器强制执行授权，以便除了显式指定的匹配器之外，所有内容都可以访问。

这实现了您想要做的事情，但请注意，这不是一个最佳实践，原因很好：默认情况下，您应该拒绝所有未授权的流量，并且只明确允许对特定路由模板的未授权请求。

也就是说，更明智的做法是在您希望无需身份验证即可访问的路由上显式使用忽略，而不仅仅是**（例如仅用于/home- /about- /login- /signup）