如何在Spring Boot Security 2.0中使用两种不同的身份验证方法

Question

我的应用程序对spring-data-rest访问使用基本身份验证（“/API/**”下的所有内容），对面向客户端的API使用UserDetailsService进行JWT身份验证（本例中的所有内容都在“/component”下）。在升级到Spring Boot2之前，我的一切工作如下：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter
{
    private UserDetailsService userDetailsService;
    private BCryptPasswordEncoder passwordEncoder;

    public SecurityConfig( UserDetailsService userDetailsService, BCryptPasswordEncoder passwordEncoder )
    {
        this.userDetailsService = userDetailsService;
        this.passwordEncoder = passwordEncoder;
    }

    @Override
    public void configure( AuthenticationManagerBuilder authenticationManagerBuilder ) throws Exception
    {
        authenticationManagerBuilder
                .userDetailsService( userDetailsService ).passwordEncoder( passwordEncoder )
                .and()
                .inMemoryAuthentication()
                .withUser( "rest" ).password( "something" ).authorities( "REST" ).roles( "REST" );
    }

    @Override
    protected void configure( HttpSecurity http ) throws Exception
    {
        http
                .cors()
                .and()
                .csrf().disable()
                .authorizeRequests()
                    .antMatchers( HttpMethod.POST, SecurityProperties.SIGN_UP_URL, SecurityProperties.LOGIN_URL ).permitAll()
                    .antMatchers( HttpMethod.GET, "/component1/**", "/component2/**", "/component3/**", "/component4/**" ).authenticated()
                    .antMatchers( HttpMethod.POST, "/component1/**", "/component2/**", "/component3/**", "/component4/**" ).authenticated()
                    .antMatchers( HttpMethod.GET, "/api/**" ).hasRole( "REST" )
                    .antMatchers( HttpMethod.OPTIONS, "/api/**" ).hasRole( "REST" )
                    .antMatchers( HttpMethod.PUT, "/api/**" ).hasRole( "REST" )
                    .antMatchers( HttpMethod.PATCH, "/api/**" ).hasRole( "REST" )
                    .antMatchers( HttpMethod.DELETE, "/api/**" ).hasRole( "REST" )
                .anyRequest().authenticated()
                .and()
                .httpBasic()
                .and()
                .addFilter( new JWTAuthenticationFilter( authenticationManager() ) )
                .addFilter( new JWTAuthorizationFilter( authenticationManager() ) )
                .addFilter( new BasicAuthenticationFilter( authenticationManager() ) );
    }
}

CORS的东西有一个单独的配置，我现在不关心，因为它以前工作得很好，现在不是任何麻烦的来源。

因此，在升级到Spring Boot Security2之后，我尝试将每种安全类型的所有内容都放入两个不同的WebSecurityConfigurerAdapter中，这将使其中一个能够工作，无论哪个具有较低的@order(1)数字。我在某种程度上遵循了这里的示例:https://github.com/spring-projects/spring-boot/wiki/spring-boot-security-2.0

我想知道现在是否应该用AuthenticationManagerBuilder删除此配置重写？还是将它们合并成一个文件？我不知道该怎么做，有人有经验吗？

Answer 1

我今天又回到这里了。我放弃了整个多个WebSecurityConfigurerAdapter,而是重新使用了一个WebSecurityConfigurerAdapter。使用的Spring Security logging level=debug显示了我正在做的Spring5不再支持的一些很容易修复的东西。