当antMatchers被允许时令牌过期时，Spring Boot Security Keyclope适配器401响应（）

Question

当我登录时，我收到access\u令牌和refresh\u令牌，我将它们作为头发送到Spring Boot服务器的每个HTTP请求中。

我遇到的问题是，当令牌过期时，当我尝试访问无需身份验证即可访问的路由时，我得到401响应，所以结果是我无法访问/v1/users/current，它会检查令牌是否有效，如果不使用刷新令牌并给我一个新的访问令牌。

我现在要做的是使/v1/users/current不需要任何类型的授权/身份验证就可以访问，这样我就可以接收新的访问令牌，我不知道如何使用keydepowebsecurityconfigureradopter实现这一点。

我尝试过使用HandlerInterceptor，但我收到的preHandle请求已经是通过密钥斗篷，我收到类似401的错误。

提前感谢！

编辑：当我使用POSTMAN并向/v1/users/current发送get请求而不使用访问令牌（无身份验证）并且在标头中使用刷新令牌时，我仍然可以访问/v1/users/current路由并获得我需要的新访问令牌。

    @KeycloakConfiguration
class ResourceServerConfiguration extends KeycloakWebSecurityConfigurerAdapter {


    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("*"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST"));
        //the below three lines will add the relevant CORS response headers
        configuration.addAllowedOrigin("*");
        configuration.addAllowedHeader("*");
        configuration.addAllowedMethod("*");
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }


    @Bean
    public ServletListenerRegistrationBean<HttpSessionEventPublisher> httpSessionEventPublisher() {
        return new ServletListenerRegistrationBean<>(new HttpSessionEventPublisher());
    }


    @Autowired
    public void configureGlobal(
            AuthenticationManagerBuilder auth) throws Exception {

        KeycloakAuthenticationProvider keycloakAuthenticationProvider
                = keycloakAuthenticationProvider();
        keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(
                new SimpleAuthorityMapper());
        auth.authenticationProvider(keycloakAuthenticationProvider);
    }

    @Bean
    @Override
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
    }

    @Bean
    public KeycloakConfigResolver KeycloakConfigResolver() {
        return new KeycloakSpringBootConfigResolver();
    }



    @Override
    public void configure(HttpSecurity http) throws Exception {


        http
                .csrf().disable()
                .cors().configurationSource(corsConfigurationSource())
                .and()
                .authorizeRequests().antMatchers(HttpMethod.GET,"/v1/users/current").permitAll().and()
                .authorizeRequests()
                .antMatchers(HttpMethod.POST,"/login").permitAll()
                .antMatchers(HttpMethod.POST,"/register/admin").hasRole("admin")
                .antMatchers(HttpMethod.POST, "/*")
                .authenticated()
                .anyRequest()
                .permitAll();
    }

/*    @Override
    public void configure(WebSecurity web) throws Exception {

        web.ignoring().antMatchers(HttpMethod.GET,"/v1/users/current");
    }*/

}

Answer 1

keydropeateauthenticationprocessingfilter似乎正在检查每个具有授权http头的http请求，这意味着如果您需要在不检查路由的情况下访问路由，那么您可以在没有授权头的情况下发送它。

我已将我的/v1/users/current更改为POST without header，并在请求正文中发送access\u令牌和refresh\u令牌。