Spring Security针对公共endpoint的意外行为

Question

我有一个Spring HttpSecurity配置

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
    .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    http.csrf().disable().httpBasic().and()
        .authorizeRequests()
            .antMatchers("/public/**").permitAll()
            .antMatchers("/secure/**").authenticated()
            .antMatchers("/backend/**").authenticated()
            .antMatchers(HttpMethod.OPTIONS, "/**").permitAll();
}

客户端为“/public/**”endpoint设置授权标头可能很愚蠢。

但是，我注意到Spring Security尝试进行身份验证，甚至尝试为公共请求创建经过身份验证的会话，因为提供了授权标头。

HttpSecurity配置是否应该覆盖此行为？

Answer 1

在评论中回答：

不，不应该。。。许可证是一种完全不安全的东西。对于后者，重写“configure（WebSecurity）”，并使用“ignering”（忽略）来实现任何安全性。