spring - PermitAll 在 Spring Security 中不起作用

Question

我有两条规则，第一条来自 oauth/** 的每个 url 都应该没有安全性，而其他 url 必须有安全性。但是现在所有 url 都是安全的，包括来自 oauth/** 的 url。这是我的安全配置规则。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        // JWT dont need CSRF
        httpSecurity.csrf().disable().exceptionHandling().and().sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()
                .antMatchers("oauth/**").permitAll().and()
                .addFilterBefore(new JwtAuthenticationTokenFilter(), BasicAuthenticationFilter.class);

        // disable page caching
        httpSecurity.headers().cacheControl();
    }

}

当我请求 url http://localhost:8080/oauth/fb 时那就是输入我的 JwtAuthenticationTokenFilter，我希望这个 url 不要输入这个过滤器。

Answer 1

您可以使用 WebSecurity 参数覆盖配置方法。

@Override
public void configure(final WebSecurity web) throws Exception
{
    web.ignoring().antMatchers("oauth/**");
}

文档中建议在提供静态内容(如 css/* js/*)时应使用此方法，但是我找不到另一种方法来允许在 Spring Security 中使用自定义过滤器进行 URL 映射。