Spring Boot Management安全性与端口集的工作方式不同

Question

我正在尝试配置具有Actuator支持的Spring Boot应用程序（1.2.3，但这在1.2.4. BUILD-SNAPSHOT版本中也失败了）。我想使用Actuator安全配置来控制对管理endpoint的访问，以及我们自己的应用程序其余部分的身份验证。

这是我的安全配置：

@Configuration
@EnableWebSecurity
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter
{

    @Autowired
    private CustomAuthenticationProvider customAuthProvider;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception
    {
        auth.authenticationProvider(customAuthProvider);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http
            .authorizeRequests()
            .regexMatchers(API_DOC_REGEX).permitAll()
            .regexMatchers(String.format(PATH_REGEX, PUBLIC_ACCESS)).permitAll()
            .regexMatchers(String.format(PATH_REGEX, INTERNAL_ACCESS)).access("isAuthenticated() && authentication.hasOrigin('INTERNAL')")
            .regexMatchers(String.format(PATH_REGEX, EXTERNAL_AUTHENTICATED_ACCESS)).authenticated()
            .antMatchers("/**").denyAll()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER)
            .and()
            .addFilterAfter(customAuthProcessingFilter(), BasicAuthenticationFilter.class)
            .csrf().disable();
    }

}

当我没有设置管理端口时，这可以正常工作，但当我设置管理端口时，管理URL返回401响应。如果我把这行注释掉。antMatchers（“/**”）。denyAll（），则所有操作都无需任何身份验证。因此，当我设置自定义端口时，它似乎正在使用我的应用程序的安全配置作为执行器endpoint，但我不知道为什么。

如何让它在自定义端口上运行时使用自身的安全性？

Answer 1

扩展@M. Deina的评论，为Management的东西添加另一个适配器（尽管它已经有一个）似乎已经修复了它。这是我最终得到的类：

@Order(0)
@Configuration
public class ManagementSecurityConfig extends WebSecurityConfigurerAdapter
{

    @Autowired
    ManagementServerProperties managementProperties;

    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http
                .requestMatchers()
                .requestMatchers(new RequestMatcher()
                {

                    @Override
                    public boolean matches(HttpServletRequest request)
                    {
                        return managementProperties.getContextPath().equals(request.getContextPath());
                    }
                })
                .and()
                .authorizeRequests()
                .anyRequest().hasRole("ADMIN")
                .and()
                .httpBasic();
    }
}