了解Spring Security上的requestMatchers（）

Question

我正在学习Spring Security的一些代码。我想了解我在Internet 1上找到的这个例子：

http.requestMatchers()
        .antMatchers("/management/**") // (1)
        .and()
        .authorizeRequests() // (2)
        .antMatchers("/management/health")
        .permitAll()
        .antMatchers("/management/info")
        .permitAll()
        .antMatchers("/management/**")
        .hasRole("ACTUATOR")
        .anyRequest().permitAll()
        .and()
        .httpBasic(); (3)

}

我不明白这个配置，为什么这个代码：

http.requestMatchers()
        .antMatchers("/management/**")
        .and() 

在之前。authorizeRequests（）？(1)

这是什么意思？

你能解释一下这个例子吗？

2： 在第二种情况下，有什么区别？

http.requestMatchers().antMatchers("/rest2/**")
.and()
.authorizeRequests()
.antMatchers("/rest/v1/test/hello").permitAll()
.antMatchers("/rest/v1/test/**").denyAll()
.and()
.requestMatchers().antMatchers("/rest/**")
.and()
.authorizeRequests()
.antMatchers("/rest/v1/test/hello").permitAll();

使用requestMatchers（）有什么影响？

如果我向“/rest/v1/test/hello2”发送请求，我会收到一个401为什么拒绝请求的规则与antMatcher（“/rest2/**") ?

Answer 1

Spring SecurityAPI：公共最终类HttpSecurity。RequestMatcherConfiguration扩展了AbstractRequestMatcherRegistry

允许映射此HttpSecurity将用于的HTTP请求

Answer 2

requestMatchers（）的目的是指定Spring Security配置将应用于哪些请求。

例如，如果您有两个endpoint，并且您只想对其应用安全性（特别是csrf保护），那么您可以添加以下配置：

http
    .requestMatchers()
        .antMatchers("/private/**")
        .and()
    .csrf();

然后，如果您发布到“/private”，您将得到403响应
但如果您发布到“/public”，您将得到200分，因为没有应用安全性。

这与指示该endpoint所需的访问类型的authorizeRequests（授权请求）不同，而不是是否应用了安全性。

在你提到的例子1中

http
    .requestMatchers()
        .antMatchers("/management/**")
        .and() 
        ...

安全配置仅应用于"/Management/**"，因此如果您向"/foo"发出请求，它将不安全。

在你提到的例子2中，

http
    .requestMatchers()
        .antMatchers("/rest2/**")
        .and()
    .authorizeRequests()
        .antMatchers("/rest/v1/test/hello").permitAll()
        .antMatchers("/rest/v1/test/**").denyAll()
        .and()
    .requestMatchers()
        .antMatchers("/rest/**")
        .and()
    .authorizeRequests()
        .antMatchers("/rest/v1/test/hello").permitAll();

"/rest/v1/test/hello2"以401响应的原因是因为"/rest/**"位于请求匹配器中，因此您的安全规则. antMatcher（"/rest/v1/test/hello"）. permitAll（）将适用。
如果您向"/rest3/v1/test/hello2"发出请求，那么它将以200响应，因为"/rest3/**"不是任何请求匹配器的一部分。