spring security仍在考虑在授权头中传递的令牌，如果令牌无效，则返回401

Question

我在项目中使用spring security oauth。通过在spring security ResourceServerConfigurerAdapter中配置，我将一些URL从身份验证中排除。我添加了http。授权请求（）。蚂蚁匹配器（url）。permitAll（）。

现在，我看到的是，如果我不将授权头传递给这些URL，它就没有经过身份验证。API被正确调用。

如果调用使用授权标头进行，则它会验证令牌，如果令牌未验证，则调用失败。

我的问题是，我需要做些什么，以便在我已批准的请求中忽略令牌。

Answer 1

如果你正在处理反应式Spring网络流量，来自苏成Koh的回答。

@Configuration
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
@Order(1) // this is important to run this before Spring OAuth2
public class PublicSecurityConfiguration {


    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {

        http

            .authorizeExchange()
            .pathMatchers("/api/public/**").permitAll();
        return http.build();
    }
}

Answer 2

根据spring-oauth2文件https://projects.spring.io/spring-security-oauth/docs/oauth2.html

注意：如果您的授权服务器也是一个资源服务器，那么还有另一个优先级较低的安全过滤器链来控制API资源。对于那些要受访问令牌保护的请求，您需要它们的路径与面向用户的主筛选器链中的路径不匹配，因此请确保在上面的WebSecurity配置中包含一个请求匹配器，该匹配器只选择非API资源。

因此，定义具有比ResourceServerConfig更高顺序的WebSecurityConfigrer实现。

Answer 3

Spring OAuth2将拦截所有标题为授权承载xxx的url。

避免Spring OAuth2拦截url。我创建了一个比Spring OAuth2配置更高阶的SecurityConfiguration。

@Configuration
@EnableWebSecurity
@Order(1) // this is important to run this before Spring OAuth2 
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        List<RequestMatcher> requestMatchers = new ArrayList<RequestMatcher>();
        // allow /api/public/product/** and /api/public/content/** not intercepted by Spring OAuth2
        requestMatchers.add(new AntPathRequestMatcher("/api/public/product/**"));
        requestMatchers.add(new AntPathRequestMatcher("/api/public/content/**"));

    http
        .requestMatcher(new OrRequestMatcher(requestMatchers))
    .authorizeRequests()
      .antMatchers("/api/public/product/**", "/api/public/content/**").permitAll()
    }
}

上述配置允许/api/public/product/**和/api/public/content/**由该配置处理，而不是由Spring OAuth2处理，因为该配置具有更高的@Order。

因此，即使将无效令牌设置为上述api调用，也不会导致无效访问令牌。