删除Spring oAuth2令牌API中的HTTP严格传输安全（HSTS）响应标头

Question

我在API项目中使用Spring Security和Spring Oauth2和JWT，为了登录Spring Oauth2提供的默认API是/oauth/token

此API总是在响应中添加“Strict-Transport-Security： max-age=31536000；包含子域”标头。但我不希望在我的情况下这样。并且我已经使用以下源代码删除了HSTS。

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
        // ...
        .headers()
            .httpStrictTransportSecurity().disable();
    }
}

在上面的代码中，我定义的API在头中被删除了HSTS。但是默认的API /oauth/token仍然在头中返回HSTS。有什么方法可以做到这一点吗？请帮助。

谢谢Tin

Answer 1

我只是遇到了同样的问题。我找到的最佳解决方案是编写一个过滤器，防止其他人设置HSTS标题。

java prettyprint-override">@Component
@Order(value = Ordered.HIGHEST_PRECEDENCE)
public class HstsHeaderPreventionFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        chain.doFilter(request, new HttpServletResponseWrapper((HttpServletResponse) response) {
            public void setHeader(String name, String value) {
                if (!name.equalsIgnoreCase("Strict-Transport-Security")) {
                    super.setHeader(name, value);
                }
            }
        });
    }

    @Override
    public void destroy() {

    }

}