在单个Oauth安全Spring控制器中无法具有安全和非安全endpoint

Question

@SpringBootApplication
@EnableOAuth2Resource
public class ProfileApplication extends SpringBootServletInitializer {

    public static void main(String[] args) throws IOException {
        SpringApplication.run(ProfileApplication.class, args);
    }

    @Override
    protected SpringApplicationBuilder configure(SpringApplicationBuilder application) {
        return application.sources(ProfileApplication.class);
    }
}

我面临的挑战是，我找不到一种方法来配置安全性，使到/profilesendpoint的POST请求不受保护，而GET或PUT的请求从提供的承载令牌传递到派生的@AuthenticationPrincipal中。

我想在API中设置以下内容：POST/profile创建新用户-无安全性GET/profile/{id}按id获取用户-需要管理员权限或用户是authd POST/password/reset-启动密码重置-无安全性

我有以下bean来配置安全性

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
@Order(-10) //SecurityProperties.ACCESS_OVERRIDE_ORDER)
class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override

    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/", "/public/**").permitAll()                
                .antMatchers(HttpMethod.POST, "/profiles/**").permitAll()
                .antMatchers(HttpMethod.GET, "/profiles/**").fullyAuthenticated()
                .antMatchers("/password/**").permitAll()
                .anyRequest().fullyAuthenticated()
                .and()
                .csrf().disable();
    }
}

使用上面的方法，GETendpoint调用失败，出现403错误，没有尝试从令牌查找当前用户，但将通过一个post。查看日志，我在筛选器链中不再看到OAuth2AuthenticationProcessingFilter。我尝试添加一些额外的过滤器似乎导致它不再注册。

此controller方法如下所示：

@RequestMapping(method = {RequestMethod.GET}, value="/profiles/{login:.+}")
@ResponseBody
public ResponseEntity<Profile> get(@AuthenticationPrincipal Principal currentUser, @PathVariable String login) {

如果我将顺序设置为SecurityProperties.Access_Override_Order，则GET请求可以工作，并且我看到基于jwt承载令牌中的配置文件对我的oauth服务进行查找，但对配置文件或密码控制器的POST请求失败，结果为401。因此，代码似乎从未到达这个过滤器，而是被OAuth2AuthenticationProcessingFilter和请求失败的auth截获。

当使用@enableoauth2resource时，是否有一种方法可以部分保护Spring Boot应用程序？我必须设置一个不同的配置bean来提供必要的重写吗？如果是的话，基于什么接口？

Answer 1

我认为您应该将Oauth2资源从SecurityConfig中的请求匹配器中移走，并允许它们由资源服务器筛选器（扩展ResourceServerConfigurerAdapter的类）处理。

我的回答是受到了Dave Syer的回答的启发，这是在这里给出的。您可以在这里找到一个很好的安全配置。

或者尝试对bean执行更高的命令。