Spring Boot web app w/两个会话CSRF

Question

我正在尝试建立一个基于Spring Boot的Web服务器，它支持基于会话的安全用户界面，包括CSRF保护和通过基本身份验证且不需要CSRF的无状态访问。我试图支持的两个用例是标准AngularJS用户界面和一个简单的REST api，可以对每个请求进行身份验证。

有人知道如何配置吗？我见过很多使用其中一个或另一个的例子，但不是同时使用两个。

Answer 1

所以我终于重新开始研究这个问题，结果发现解决方案几乎和我预期的一样简单。解决方案是有两个websecurityConfigureAdapter类。这里描述了这一点：

http://docs.spring.io/spring-security/site/docs/3.2.x/reference/htmlsingle/#multiple-httpsecurity

进行此操作时需要注意两件事：

1. websecurityConfigureAdapter类必须具有不同的@Order值。因此，我用@Order（1）对其中一个进行了注释，强制在处理HTTP请求时首先对其进行评估。在我的情况下，哪一个是第一个并不重要，它们只是必须是不同的

所以他们是：

@Configuration
@EnableWebSecurity
@Order(1)
public class APISecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    @Order(1)
    protected void configure(HttpSecurity http) throws Exception {

        http.antMatcher("/api/**")
                .authorizeRequests()
                .anyRequest().fullyAuthenticated().and()
                .httpBasic().and()
                .csrf().disable();
    }
}

而且

@Configuration
@EnableWebSecurity
public class UISecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.authorizeRequests()
                .antMatchers("/ui/**").authenticated();
    }
}