如何支持REST API项目的基本身份验证和承载身份验证

Question

我是Spring Security的新手

我有Sprint Boot Rest API项目，它公开了某些API。我已经为所有API实现了基于承载令牌的身份验证。例如 /user、 /resource、 /appointment

现在，对于特定控制器的几个api，我希望实现基本身份验证。这些API将被另一个不公开的服务使用。为了保证API的安全性，我希望为这些apis提供基本身份验证。例如 /internal/api1，内部/api2...等等

我无法区分ResourceServerConfigurerAdapter中的URL

Answer 1

通过阅读您的问题，您想要的是为两个不同的endpoint拥有两种身份验证类型（令牌和httpBasic）。它可以通过创建两个不同的WebSecurityConfigrerAdapter bean来实现。Spring Boot启用了这一点，并且可以像下面这样完成：

• @订单（1）-/resource |用户|约会/**受承载令牌身份验证保护

在此处查看Spring Boot的文档和示例代码。

   @EnableWebSecurity
   public class SecurityConfig {

    @Configuration
    @Order(1)
    public class ApiSecurityConfig extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/resource/**")
                .antMatcher("/user/**")
                .antMatcher("/appointment/**")
                .authorizeRequests()
                    .anyRequest().authenticated()
                .and() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
    .and().addFilterBefore(jwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
        }
    }

    @Configuration
    @Order(2)
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/internal/**")
                .and()
                .httpBasic();
        }
    }

}