带有OAuth2和匿名访问的Spring Security性

Question

我用Spring Security和OAuth2保护了我的Spring REST API，我可以成功地检索令牌并访问我的API。我的应用程序自定义了OAuth2客户端。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.antMatcher("/api1").anonymous().and()
            .authorizeRequests().antMatchers("/ap2**").permitAll();
}

当我添加第二个antmatcher/anonymous时，它就无法工作，而且它也没有真正表达我的意图--例如，我不想对API1GETs进行匿名访问，而是在POSTs上进行身份验证（使用@preauthorize很容易做到）。

如何使OAuth2身份验证可选？

Answer 1

我删除了@enableWebSecurity并使用了ResourceServerConfigurerAdapter，如下所示：

@Configuration
@EnableResourceServer
protected static class ResourceServer extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                    .antMatchers(HttpMethod.GET, "/api/api1", "/api/api2").permitAll()
                .and().authorizeRequests()
                    .anyRequest().authenticated();
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("my-resource-id");
    }
}

/api/api1现在可以使用或不使用身份验证调用。