带Spring安全装置OAuth2和执行器的Spring防尘套

Question

我试图弄清楚如何使用Spring Security OAuth2的EnableResourceServer，同时保持默认Spring Boot的执行器安全不受影响。我使用的是Spring Boot 1.5.1和依赖项的默认版本。我配置了以下内容

@Configuration
@EnableResourceServer
@EnableWebSecurity(debug=true)
@EnableGlobalMethodSecurity 
public class OAuthConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(final HttpSecurity http) throws Exception {
        http
        .authorizeRequests()
        .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
        .mvcMatchers("/resource/{type}").permitAll()
        .antMatchers("/resource/data/**").authenticated();
    }
}

我没有明确配置任何其他安全设置。我认为执行器endpoint将继续得到适当的保护，但我得到了401，当检查安全调试日志时，它没有显示任何关于HTTP Basic的内容。我做错什么了吗？我需要一些其他配置？

Answer 1

您必须将管理角色添加到应用程序属性中，类似于这样的management.security.roles=ROLE_SOMEROLENAME您的用户应该持有此角色才能访问执行器endpoint。您还可以使用此属性设置执行器endpoint的路径management.context-path=/my的执行器

Answer 2

我期待这样的事情-

@Override
public void configure(final HttpSecurity http) throws Exception {
    http
    .authorizeRequests()
    .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
    .antMatchers("/health/**").permitAll()
    .mvcMatchers("/resource/{type}").permitAll()
    .antMatchers("/resource/data/**")
    .anyRequest().authenticated();
}