如何灵活地配置Spring Web安全性

Question

我目前正在使用Spring security建立一个反向代理安全域，其想法是默认情况下要求所有请求上都有承载令牌，除了一些例外情况，如注册等。当前我的配置功能如下所示：

 @Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().and().csrf().disable().authorizeRequests()
            .antMatchers(HttpMethod.POST, SIGN_UP_URL).permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new JWTAuthenticationFilter(authenticationManager()))
            .addFilter(new JWTAuthorizationFilter(authenticationManager()))
            // this disables session creation on Spring Security
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
}

Ant Matcher非常有用，但您必须单独传递所有URL。有没有办法让我传入一个字符串数组，这样我就可以将配置分开？

Answer 1

http.cors().and().csrf().disable().authorizeRequests()
        .antMatchers(HttpMethod.POST, SIGN_UP_URL).permitAll()

在上述代码中，antMatchers也将接受字符串数组。下面是spring security中anyMatcher方法的实现。释放。根据方法签名，您应该能够传递包含所需路径的字符串数组。

    /**
 * Maps a {@link List} of
 * {@link org.springframework.security.web.util.matcher.AntPathRequestMatcher}
 * instances that do not care which {@link HttpMethod} is used.
 *
 * @param antPatterns the ant patterns to create
 * {@link org.springframework.security.web.util.matcher.AntPathRequestMatcher} from
 *
 * @return the object that is chained after creating the {@link RequestMatcher}
 */
public C antMatchers(String... antPatterns) {
    return chainRequestMatchers(RequestMatchers.antMatchers(antPatterns));
}

如果深入研究实现，spring会将此参数转换为所有路径的ArrayList。

此外，还有另一种方法。如果您正在扩展spring的WebSecurity配置适配器类，要忽略Spring Security性不应保护的路径，请再次重写相同的方法。

@Override
public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("path":);
}

我想这样很好。