Spring requestMatchers、antMatchers和authorizeRequests用法

Question

我试图理解requestMatchers、antMatchers和authorizeRequests的用途。

>

如果我们只使用请求匹配器会发生什么？

http.request匹配器（）；

如果使用requestMatchers和antMatchers会发生什么？

http。requestMatchers（）。antMatchers（“/”，“/登录”）；

如果使用html" target="_blank">请求匹配器、antMatcher和授权请求会发生什么？

http。requestMatchers（）。antMatchers（“/”，“/登录”）。和（）。authorizeRequests（）。anyRequest（）。已验证（）；

因此，在案例3中，requestMatchers（）是否对“/登录”和“/”进行了例外处理，因此它们不会被验证，或者这是否意味着它们也需要验证。

将requestMatchers（）放在authorizeRequests（）之前会让人感到困惑。需要知道它们到底做什么，以及结合antmacthers会做什么。

Answer 1

1. 无意义的2.add一些带有ant模式的路径，这些路径用于在传入请求中与url匹配，如果匹配，将选择具有这些路径的过滤链来过滤传入请求。3.authorize请求（）. anyRequest（）。身份验证（）意味着通过所选过滤链对所有传入请求进行身份验证。简而言之，请求匹配器用于设置路径以匹配您想要的请求，授权请求用于根据您通过antMatcher（"XXX"）. permitAll（）等方法设置的规则对这些请求进行身份验证。

Answer 2

如果我们只使用请求匹配器会发生什么？http.request匹配器（）；

这只是一个无用的方法调用。在英文中，它的意思是：对于所有传入的http请求，我想根据匹配器列表对它们进行筛选，当然没有匹配列表，所以它什么都不做。

如果使用requestMatchers和antMatchers会发生什么？

http。requestMatchers（）。antMatchers（“/”，“/登录”）；

另一个无用的方法调用。在英文中，它的意思是：对于所有传入的http请求，根据匹配器列表、“/”和“/登录”对它们进行过滤，但您不告诉它要做什么，所以它也不做任何操作。

如果使用请求匹配器、antMatcher和授权请求会发生什么？

http。requestMatchers（）。antMatchers（“/”，“/登录”）。和（）。authorizeRequests（）。anyRequest（）。已验证（）；

这好多了。在英语中，它的内容是：对于所有传入的超文本传输协议请求，我想根据这个匹配器列表过滤它们，即“/”和“/login”，我希望它们只能由经过身份验证的用户访问。

如果您使用的是Spring Security，Spring将检查其SecurityContext（存储在ThreadLocal变量中），以确定是否有包含主体（经过身份验证的用户，通常是User详细信息对象的实例）的身份验证对象。如果有，则允许请求继续，如果没有，则得到一个丑陋的403，禁止。

因此，在案例3中，requestMatchers（）是否对“/登录”和“/”进行了例外处理，因此它们不会被验证，或者这是否意味着它们也需要验证。

如上所述。

问题是，通过Spring Security的Spring Boot让我们非常容易，只需几行配置就可以从坚实的安全基础开始。试一试，一个小时左右，你就可以开始生产了。

祝你好运，伙计！