使用Spring Security，我如何确定当前的api请求是否应该进行身份验证？

Question

使用spring security，您可以拥有每个人都可以访问的公共apiendpoint，以及在获得响应之前需要进行身份验证的endpoint。在我的应用程序中，用户通过jwt令牌进行身份验证。对于目前登录的用户，始终检查令牌，无论公共apiendpoint是否获得请求。

我想知道如何检查当前endpoint是公共endpoint还是经过身份验证的endpoint，这样我可以修改代码，使令牌检查仅在endpoint需要身份验证时进行。

我可以在哈希集中添加所有公共endpoint并将当前请求endpoint与公共endpoint进行比较，但这并不高效，而且一些公共endpoint包含通配符（**），因此比较会有点麻烦。

这是我能找到的唯一信息：

Spring Security-检查web url是否安全/受保护

但它是关于JSP的。

我也无法从SecurityContextHolder.getContext（）获取请求信息。我的猜测是我应该从org.springframework.security.config.annotation.web.builders.HttpSecurity获取信息，因为这是用于定义哪些endpoint不需要身份验证的相同类。（使用ant Matcher（）. permitall（））。但是我不知道调用哪个方法，我不确定HttpSecurity是否可以自动安装到另一个类中。有人能给我一些提示吗？

非常感谢。

Answer 1

假设您使用单独的过滤器进行令牌检查，那么可以通过重写JwtTokenFilter中OncePerRequestFilter的受保护布尔shouldNotFilter（HttpServletRequest-request）方法来避免对公共endpoint进行令牌检查。默认情况下，此方法将始终返回false。因此，所有请求都将被过滤。为公共endpoint重写此方法以返回true将提供所需的功能。要使用通配符（**）检查请求，可以使用AntPathRequestMatcher。所以，你可以做如下的事情。

public class JwtTokenFilter extends OncePerRequestFilter {
    private static RequestMatcher requestMatcher;

    public static void ignorePatterns(String... antPatterns) {
        List<RequestMatcher> matchers = new ArrayList<>();
        for (String pattern : antPatterns) {
            matchers.add(new AntPathRequestMatcher(pattern, null));
        }
        requestMatcher = new OrRequestMatcher(matchers);
    }

    static {
        final String[] publicEndPoints = {"/public-api/**","/resources/**"};
        ignorePatterns(publicEndPoints);
    }

    @Override
    protected boolean shouldNotFilter(HttpServletRequest request) throws ServletException {
        return requestMatcher.matches(request);
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
    ....
    }
}

希望这有帮助！！