HttpSecurity、WebSecurity和AuthenticationManagerBuilder

Question

有人能解释什么时候覆盖配置（HttpSecurity）、配置（WebSecurity）和配置（AuthenticationManagerBuilder）吗？

Answer 1

web Security < code > ignition()方法的一般用法省略了Spring Security，Spring Security的所有特性都不可用。WebSecurity基于HttpSecurity之上。

@Override
public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/resources/**")
        .antMatchers("/publics/**");
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/publics/**").hasRole("USER") // no effect
        .anyRequest().authenticated();
}

上面示例中的WebSecurity让Spring忽略/资源/**和/Publics/**。因此，HttpSecurity中的. antMatcher（"/Publics/**"）. hasRole（"USER"）未被考虑。

这将从安全过滤器链中完全省略请求模式。请注意，与此路径匹配的任何内容都不会应用任何身份验证或授权服务，并且可以自由访问。

configure（HttpSecurity）允许基于选择匹配在资源级别配置基于web的安全性-例如，下面的示例将以/admin/开头的URL限制为具有管理员角色的用户，并声明任何其他URL都需要成功验证。

< code > configure(web security)用于影响全局安全性的配置设置(忽略资源、设置调试模式、通过实现自定义防火墙定义拒绝请求)。例如，出于身份验证的目的，下面的方法会导致任何以< code>/resources/开头的请求被忽略。

AuthenticationManagerBuilder
extends AbstractConfiguredSecurityBuilder<AuthenticationManager,AuthenticationManagerBuilder>
implements ProviderManagerBuilder<AuthenticationManagerBuilder>

SecurityBuilder用于创建AuthentiationManager。允许轻松构建内存身份验证、LDAP身份验证、基于JDBC的身份验证、添加UserDetailsService和添加AuthentiationProvider的。

@Override
     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("user").password("password").roles("USER"); 
        auth.userDetailsService(customUserDetailService).passwordEncoder(new BCryptPasswordEncoder());
     }

Answer 2

配置（身份验证管理器构建器）用于通过允许轻松添加身份验证提供程序来建立身份验证机制：例如，以下定义了具有内置“用户”和“管理员”登录的内存中身份验证。

public void configure(AuthenticationManagerBuilder auth) {
    auth
        .inMemoryAuthentication()
        .withUser("user")
        .password("password")
        .roles("USER")
    .and()
        .withUser("admin")
        .password("password")
        .roles("ADMIN","USER");
}

configure（HttpSecurity）允许基于选择匹配在资源级别配置基于web的安全性-例如，下面的示例将以/admin/开头的URL限制为具有管理员角色的用户，并声明任何其他URL都需要成功验证。

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated()
}

configure(WebSecurity)用于影响全局安全性的配置设置(忽略资源、设置调试模式、通过实现自定义防火墙定义拒绝请求)。例如，以下方法将导致出于身份验证目的而忽略任何以/resources/开头的请求。

public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/resources/**");
}

您可以参考以下链接了解更多信息Spring SecurityJavaConfig Preview： Web Security