Spring Security中Web忽略和Http允许的区别？

Question

这两种方法有什么区别？

 @Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/api/**").permitAll();
}

@Override
public void configure(WebSecurity web) {
    web.ignoring().antMatchers("/api/**");
}

在Spring安全配置类中，当我使用HttpSecurity时，它仍然给我403个禁止，但当我使用WebSecurity时，它通过得很好？为什么？我觉得我几乎无法控制什么是允许的，什么需要通过过滤器进行授权。

Answer 1

这是一个有点抽象的问题，也有一个有点抽象的答案。

>

[flow 1]想象一个大的办公楼，一楼有一个主接待处。一楼的接待处可以让你进入大楼，如果你想去公司，比如说B他们会带你去那里，但他们不能让你进入任何公司的办公室，因为他们是诚实的，每个办公室都有自己的接待处，当你来到B办公室接待处时，你需要在那里进行身份验证（只有客人、想看到他们办公室的匿名人士、员工/用户、管理员等），只有他们让你进入任何一位父亲，才由他们决定。

[flow 2]想象一下，在同一栋大办公楼里有餐厅/商店/厕所，当你来到一楼的主接待处，问他们餐厅在哪里，他们会带你去那里，你不应该在这里进行身份验证，他们不知道你是谁，他们也不应该：＜code＞web.igning（）.antMatchers（“/restaurant/**”）

[流程3]想象一下，在同一个大办公楼里，有一家公司C决定在他们的楼层开设画廊(在一个房间里，而不是在整个办公室里)

• 他们问一楼的主接待处：“如果有人来参观我们的画廊，就让他们进去吧，不需要我们接待处的身份验证”＜code＞web.igning（）。antMatchers（“/C/gallery/**”）
• 此外，他们还可以用其他方式处理流程1，当一个人来到他们的接待台并说他想看他们的画廊时，他们只会让他们进来，而无需身份验证http.authorizeRequests（）.antMatchers（“/C/gallery/**”）.permitAll（）

在这两种情况下，结果将是相同的，访问者将看到C公司的画廊，但在使用< code>http的流程中，涉及到许多步骤/人员/(在< code>Spring Security的情况下是过滤器)——这有点慢，并且不需要静态资源。

底层的主接待处是-WebSecurity它是整个应用程序/建筑物中唯一的一个。

任何公司的接收都是WebSecurityConfigureAdapter（每个websecurityConfigureAdapter只有一个HttpSecurity）。您可以拥有任意多个，每个都可能具有完全分离的身份验证流程、安全要求等。。。，但他们都可以要求＜code＞WebSecurityWebSecurity甚至不知道如何验证用户-没有这样的选项。

总结一下你的问题，这两种方法应该产生相同的效果，如果不是，则意味着＜code＞WebSecurityConfigureAdapter。

Answer 2

我建议您浏览一下这篇文章：Spring SecurityJavaConfig Preview： Web Security您的代码中两种方法之间的区别是：

< li> HttpSecurity允许为HTTP请求配置基于web的安全性。在这个级别，您声明身份验证规则。 < li> WebSecurity允许配置对所有web安全性具有全局影响的内容，例如设置调试模式或使用< code>HttpFirewall的实现来启用进一步的防火墙配置，或者如您的代码所示简单地忽略资源。

您可能会对< code > web securityconfigureradapter 的第三个< code>configure方法感兴趣，该方法使用:

• AuthenticationManagerBuilder，它启用并确保身份验证机制，例如基于LDAP的身份验证或基于JDBC的身份验证。