java - Spring Security - 具有 IS_AUTHENTICATED_ANONYMOUSLY 但仍指定(且未知)凭据的 Url 被框架阻止

Question

我的 security.xml 中有一个(rest api 的)映射网址，其中设置了 access="IS_AUTHENTICATED_ANONYMOUSLY"。

如果我在没有凭据的情况下调用该端点，它会正常工作，但是如果我指定一些基本身份验证(重要!，未在数据库上的 Spring 用户表中提供，因为我不想通过该端点上的框架进行身份验证)端点，但我稍后需要它们用于其他用途)，spring security 会阻止访问。我想问题是 Spring 正确地允许匿名请求，但是当我使用未知的凭据执行此操作时，框架无论如何都会尝试对它们进行身份验证。

有没有办法完全绕过特定url的spring security？

Answer 1

Is there a way to completely bypass spring security for a specific url?

是的。您可以配置WebSecurity以忽略此URL:

public void configure(WebSecurity web) throws Exception {
    web.ignoring()
       .antMatchers("/foo-url");
}

然后 Spring Security 将不会启动来处理此 URL。