如何忽略 Spring Security 中的端点？

Question

我正在尝试实现 JWT。我有两个端点：/api/auth/signin 用于身份验证，返回生成的 JWT 令牌，/api/auth/me 应该根据标头中的 JWT 令牌返回用户。我正在尝试将 Spring Security 配置为只有授权用户才能访问/api**，我需要排除/api/auth/signin 这是扩展 WebSecurityConfigurerAdapter 的类中的 configure() 方法：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.antMatcher("/api**")
            .httpBasic().disable()
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeRequests()
                .antMatchers(HttpMethod.POST, "/api/auth/signin").permitAll()
                .anyRequest().authenticated()
            .and()
            .addFilterBefore(jwtAuthorizationFilter(), UsernamePasswordAuthenticationFilter.class);
}

但它仍然为/api/auth/signin 调用 JwtAuthorizationFilter。我还尝试通过以下方式忽略此端点：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers(HttpMethod.POST,"/api/auth/signin");
}

有没有其他方法可以忽略它，或者permitAll() 和ignoring() 应该以不同的方式使用？

Answer 1

为什么不创建两种类型的端点：

1. 授权的 API：“/api/auth/**”
2. 未经授权的 API：“/api/noauth/**”

然后只为“/api/auth/**”配置安全

Answer 2

您需要一个 AbstractAuthenticationProcessingFilter 过滤器来在 /api/auth/signin 上生成 JWT 令牌和一个 GenericFilterBean 来检索身份验证对象并将其放入 SecurityContextHolder

以下链接中有一个很好的示例：

https://auth0.com/blog/securing-spring-boot-with-jwts/

http.antMatcher("/api**")
                .httpBasic().disable()
                .csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
            // We filter the api/login requests
            .addFilterBefore(new JWTLoginFilter("/api/auth/signin", authenticationManager()),
                    UsernamePasswordAuthenticationFilter.class)
            // And filter other requests to check the presence of JWT in header
            .addFilterBefore(new jwtAuthorizationFilter(),
                    UsernamePasswordAuthenticationFilter.class);

而且我不确定是否可以从 响应正文中 JWTLoginFilter 中的successAuthentication()

示例在响应的授权标头中返回令牌。但如果你想在正文中返回令牌。您可以使用以下代码：

static void addAuthentication(HttpServletResponse res, String username) {
        String JWT = Jwts.builder()
                .setSubject(username)
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATIONTIME))
                .signWith(SignatureAlgorithm.HS512, SECRET)
                .compact();
//        res.addHeader(HEADER_STRING, TOKEN_PREFIX + " " + JWT);
        JSONObject tokenJson = new JSONObject();
        tokenJson.put(SecurityConstants.JWT_TOKEN, JWT);
        tokenJson.put(SecurityConstants.USERNAME, username);
        try(PrintWriter writer = res.getWriter()) {
            writer.print(tokenJson.toJSONString());
            writer.flush();
        } catch (IOException e) {
            LOG.error("error ...");
        }
//        res.addHeader(HEADER_STRING, TOKEN_PREFIX + " " + JWT);
    }