java - Spring Security 中 Web 忽略和 Http 允许之间的区别？

Question

这两种方法有什么区别？

 @Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/api/**").permitAll();
}

@Override
public void configure(WebSecurity web) {
    web.ignoring().antMatchers("/api/**");
}

在 spring 安全配置类中，当我使用 HttpSecurity 时，它仍然给我 403 forbidden，但是当我使用 WebSecurity 时，它通过了吗？这是为什么？我觉得我几乎无法控制什么是允许的，什么需要通过过滤器授权。

Answer 1

我建议您浏览一下这篇文章:Spring Security Java Config Preview: Web Security您的代码中这两种方法之间的区别是:

• HttpSecurity允许为 HTTP 请求配置基于 Web 的安全性。在此级别，您声明身份验证规则。
• WebSecurity允许配置对所有 Web 安全具有全局影响的事物，例如设置 Debug模式或使用 HttpFirewall 的实现启用进一步的防火墙配置或者像您的代码所示那样简单地忽略资源。

您可能对第 3 个 configure 感兴趣WebSecurityConfigurerAdapter的方法它使用:

• AuthenticationManagerBuilder启用并确保身份验证机制，例如基于 LDAP 的身份验证或基于 JDBC 的身份验证。