HttpSecurity permitAll 和 WebSecurity 忽略 un-Auth URL 的函数？

Question

这个问题看起来可能重复，但以下答案都没有解释何时使用：

`http
   .authorizeRequests()
   .antMatchers("/h2-console/**", "/user/register/**").permitAll()` 

和

`web
   .ignoring()
   .antMatchers("/h2-console/**", "/user/register/**")`

1. HttpSecurity、WebSecurity和AuthenticationManagerBuilder
2. Spring Security中Web忽略和Http允许的区别

通过阅读StackOverflow asnwers和几篇文章，我了解到:

configure（HttpSecurity）允许在资源级别配置基于web的安全性。

configure(WebSecurity)用于影响全局安全性的配置设置。使用这个URL，Spring Security过滤器链会完全忽略它。

当我使用< code>permitAll()时，它仅在我禁用了csrf: http.csrf()时才有效。disable()因为Spring Security过滤器链仍然是活动的。

但使用＜code＞web。忽略（）URL将被完全忽略。

仍然有很多文章使用http.permitAll（）作为/login或/register，就像这样和这样

所以我想了解，

为什么我们甚至应该使用http.permitAll（）来表示Un-Auth URLS，如/login和/register？

为什么我们不能使用 web.ignoring（） 作为 /login 和 /register？

为什么 web.ignoring（） 通常用于提供静态内容，如 css 和 webjars 等，而不是 /login 和 /register？

Answer 1

正如< code>@M. Deinum指出的，我正在总结答案，并且我已经在PR中更新了相同的文档。

配置（web安全性web）

此方法中使用的endpoint忽略Spring Security过滤器、标头、CSRF等。请参阅HeadersConfigrer、CsrfConfigrer。相反，如果您想保护公共endpoint免受常见漏洞的侵害，请参阅配置（HttpSecurity）和HttpSecurity#AuthizeRequest配置方法。

< code >配置(HttpSecurity http)

可以在此处指定需要防御常见漏洞的公共终结点。有关更多详细信息，请参阅 HttpSecurity#authorizeRequests 和 permitAll（） 授权规则。