java - Spring Security 即使使用 @PreAuthorize ("permitAll()"也会阻止匿名请求)

Question

我有很多 API 端点需要经过身份验证的请求，还有一些允许任何请求。我希望 Spring Security 默认阻止匿名请求，但让我覆盖它:

aHttpSecurity.authorizeRequests().anyRequest().authenticated()

...

@PreAuthorize("permitAll()")
@RequestMapping("/foobar")
public ResponseEntity<FooBar> get() {
  ...
}

不幸的是，这不起作用:/foobar 输出 401。知道该怎么做吗？

Answer 1

@PreAuthorize 只是一个封装方法的注释，用于检查用户是否可以执行注释的方法。它不仅适用于 Controller 。

当您有 http 请求时，首先请求会通过一些 spring 安全过滤器，当您编写 .anyRequest().authenticated() 时，您只是不去某些包装的 Controller 端点。

所以，如果你有几个端点，你可以排除它

aHttpSecurity.authorizeRequests()
.antMatchers(HttpMethod.GET, "/foobar/**").permitAll()
.antMatchers("/**").authenticated()

并删除@PreAuthorize("permitAll()")