选择性使用Spring Security的CSRF过滤器

Question

免责声明：我的问题有点类似于这个问题和这个问题，但我已经尝试了这些帖子中建议的所有答案，并且已经花了几天时间来解决这个问题。

我在我现有的应用程序（JSP，仅限Servlet）中引入了Spring Security 3.2.6，并且我正在使用Java配置。我的应用程序将被浏览器和非浏览器客户端使用。我希望所有浏览器对网址的请求（即<代码>/网页/webVersion/和<代码>/网页/webVersion2/）都启用CSRF，所有其他请求都禁用CSRF。非浏览器客户端永远不会访问以上两个网址，而浏览器应用程序也可以访问CSRF禁用的网址。

我尝试了多种选择：

>

仅在上述URL上启用Spring Security性：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/","/resources/****").permitAll()
        .antMatchers("/webpages/webVersion/****", "/webpages/webVersion2/****").authenticated()
        .antMatchers("/webpages/****").permitAll()
        .anyRequest().anonymous()
        .and()
        .formLogin().loginPage("/webpages/webVersion/login/newLogin.jsp").failureUrl("/webpages/webVersion/login/newLogin.jsp?error=true").loginProcessingUrl("/j_spring_security_check")
        .usernameParameter("username").passwordParameter("password").defaultSuccessUrl("/webpages/webVersion/login/loginSuccess.jsp", true).permitAll()
        .and()
        .logout().logoutUrl("/webpages/webVersion/logout.jsp").permitAll()
        .and().exceptionHandling().accessDeniedPage("/webpages/webVersion/404-error-page.jsp")
        .and()
        .csrf();
} 

这不起作用，因为我观察到所有URL都启用了CSRF。

尝试使用CSRFprotected Matcher：

.csrf().requireCsrfProtectionMatcher(csrfRequestMatcher); 

CSRF仅对预期的URL启用，但即使是/resources/**和/webpages/**URL也需要在匹配功能中进行检查。考虑到它将适用于所有请求，似乎有点过分。

已尝试使用另一个版本的configure方法：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().regexMatchers(".*?/jsp/(?!webVersion|webVersion2).*?");
}

我不确定我做得是否正确，但这并没有产生我想要的结果。

上述哪种方法是正确的（Spring Security）方式来执行我想要的操作？如何从我的Spring Security配置中实现所需的行为？

Answer 1

事实证明，他们是我的配置中的一些错误，最后我使用方法3实现了目标...我使用了下面版本的配置函数以及通常的配置（HttpSecurity超文本传输协议）函数...

@Override
public void configure(WebSecurity web) throws Exception {
  web.ignoring().regexMatchers(".*?/jsp/(?!webVersion|webVersion2).*?");
}