正确配置 Spring 的安全性 - Java

Question

所以我是Spring 的新手，并且在我使用Spring-Boot 开发Web 应用程序的过程中学习。 目前我的页面由两个html 页面组成：index.html 和login.html。我也在使用Spring-Security。

这是我目前的MvcConfig：

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter;

@Configuration
public class MvcConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("index");
        registry.addViewController("/login").setViewName("login");
    }

}

网站的设计方式是，用户访问网址http://localhost:8080，然后他/她会看到初始页面，那里有一个login 选项卡，他/她可以在其中登录，然后转到dashboard 视图（稍后我会添加）。 但是，当我加载初始页面时，页面完全配置错误（未加载 css / js / images 资源）。在我转到http://localhost:8080/login 后，执行登录，一切都恢复正常。

因此，http://localhost:8080 形式的任何 url 都是允许的 (index.html)，但其他任何内容都需要登录。 这是我的Spring-Security 配置：

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .regexMatchers("/", "/index").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
 }

如何正确配置我的网页？

*** 备注： * 我目前没有任何 Controller 类。

Answer 1

对不起，我会尽量说清楚

anyRequest().authenticated() 使您对 html 资源的请求需要授权。你只允许 '/' & '/login'

所以，将 permitAll 添加到 css、js、图像中 http .authorizeRequests() .regexMatchers("/", "/index").permitAll() .antMatchers("/**/*.js", "/**/*.css").permitAll()

或者更简单，为登录页面制作样式。不依赖其他静态资源。

Answer 2

我发现正则表达式匹配器的问题是从您的服务器加载的任何资源，您需要在映射中考虑。

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
   @Override
   protected void configure(HttpSecurity http) throws Exception {
       http
           .authorizeRequests()
              .antMatchers("/login", "/admin").hasRole('ADMIN') // e.g. for pages that need to be authenticated
              .anyRequest().permitAll() // all the others will be accessable by all
              .and()
           .formLogin()
              .loginPage("/login")
              .permitAll()
              .and()
           .logout()
              .permitAll();
        }
}

最简单的匹配方法如下：

1. 通过覆盖 addResourceHandlers 来声明您的资源文件
2. 使用 antmatchers 来处理 url 安全性（更简单、更容易），除非您有带有关键参数的极其动态的 url