在Spring Security中使用Spring-boot-starter混合HttpBasic和FormLogin

Question

我使用带有spring security的spring-boot-starter 0.5.0.M6构建我的应用程序，该应用程序包含：

1. “/ADMIN/”**:任何具有角色ADMIN的人都可以访问，基于表单的登录
2. “/API/”**:任何拥有角色API、http基本登录的人都可以访问

@Override
protected void configure(HttpSecurity http) throws Exception {
      http
        .authorizeRequests()
          .antMatchers("/resources/**").permitAll()
          .antMatchers("/admin/**").hasRole("ADMIN")
        .and()
          .formLogin()
          .defaultSuccessUrl("/admin/home")
          .loginPage("/login")
          .permitAll()
        .and()
          .logout()
          .logoutRequestMatcher(new AntPathRequestMatcher("/logout", "GET"))
          .permitAll();  
      http
        .authorizeRequests()
          .antMatchers("/api/**").hasRole("API")
        .and()
          .httpBasic();
}

null

请帮我一把。

多谢

Answer 1

对于api部分，请使用以下代码。请注意，第一个ant匹配器限制了这个安全配置所过滤的范围。这是我一开始从你的参考资料中不明白的部分。

@Configuration
@Order(1)
public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
        // the ant matcher is what limits the scope of this configuration.
        http.antMatcher("/api/**").authorizeRequests()
            .antMatchers("/api/**").authenticated()
            .and().httpBasic().realmName("Sourcing API");
    }
}