Spring Boot 2.0 禁用默认安全性

Question

我想使用 Spring Security 进行 JWT 身份验证。但它带有默认身份验证。我正在尝试禁用它，但这样做的旧方法 - 通过application.properties 禁用它 - 在 2.0 中已弃用。

这是我尝试过的：

@Configuration
public class StackWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic().disable();
        // http.authorizeRequests().anyRequest().permitAll(); // Also doesn't work.
    }
}

我怎样才能简单地禁用基本安全性？

更新
很高兴知道我使用的不是 web mvc 而是 web Flux。

截图：

Answer 1

根据 Spring 2.0 中的新更新，如果 Spring Security 在 classpath 上，Spring Boot 将添加 @EnableWebSecurity。所以向 application.properties 添加条目是行不通的（即它不再是可定制的） .更多信息请访问官网Security changes in Spring Boot 2.0

虽然不确定您的具体要求，但我可以想到一种解决方法，如下所示：-

@Configuration
@EnableWebSecurity
public class SecurityConfiguration  extends WebSecurityConfigurerAdapter{
    @Override
    protected void configure(HttpSecurity http) throws Exception{
        http.authorizeRequests().antMatchers("/").permitAll();
    }
}

希望这会有所帮助。

Answer 2

从 Spring Boot 2.1 开始，如果包含 spring-boot-actuator，仅排除 SecurityAutoconfiguration 是不够的，还需要排除 ManagementWebSecurityAutoConfiguration，如下所示：

@SpringBootApplication(exclude = { SecurityAutoConfiguration.class, ManagementWebSecurityAutoConfiguration.class })

Answer 3

According to the reference documentation，允许使用 WebFlux 的所有请求的安全配置应如下所示：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http.authorizeExchange().anyExchange().permitAll();
        return http.build();
    }
}

Answer 4

这对我有用：

@Configuration
public class SecurityConfig  extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests().anyRequest().permitAll();
    }
}

Answer 5

您可以在您的应用程序类中添加/修改以下内容：

@SpringBootApplication(exclude = { SecurityAutoConfiguration.class })
public class MyApplication {

}

Answer 6

添加一些新的答案，我假设所有使用执行器，如果不是，我敢打赌一个类排除就足够了，我设法通过属性禁用：

spring:
  autoconfigure:
    exclude: ${spring.autoconfigure.sac}, ${spring.autoconfigure.mwsas}
    sac: org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration
    mwsas: org.springframework.boot.actuate.autoconfigure.security.servlet.ManagementWebSecurityAutoConfiguration

我通过属性引用了两个自动配置类以保持长度不变（请注意，如果您这样引用它，IntelliJ Ultimate 会哭，因为它不知道这些占位符值是什么以及它们是否实际上是合法类，如果这让你感到厌烦，那么内联）。

但应用程序并没有按照以下要求启动：

https://www.baeldung.com/spring-boot-security-autoconfiguration

如果你只是禁用SecurityAutoConfiguration

如果它确实有效，您将不再看到自动生成的密码，并且它比接受的答案更容易混淆，因为阅读日志的开发人员不会被生成的基本身份验证密码混淆，而安全性允许一切。

为什么仅仅禁用主自动配置类是不够的，因为这个家伙：

@Configuration
class ManagementWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .requestMatchers(
                        EndpointRequest.to(HealthEndpoint.class, InfoEndpoint.class))
                .permitAll().anyRequest().authenticated().and().formLogin().and()
                .httpBasic();
    }

}

为了拆分执行器和安全配置，我们做了大量工作，这让我们所有人都感到困惑，现在它更简单了，但像这样的工件仍然存在。如果我错了，Spring 开发人员会纠正我:-)。

Answer 7

如果有人在基于 WebFlux 的应用程序或 Spring Cloud Gateway 应用程序中遇到此问题，以下对我有用：

@EnableWebFluxSecurity
public class InsecurityConfiguration {
    // @formatter:off
    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
         http
              .authorizeExchange()
                   .anyExchange().permitAll();
         return http.build();
    }
}

Answer 8

我认为您正在寻找的是覆盖设置为 BasicAuthenticationEntryPoint 的默认身份验证入口点。

这个入口点添加了

“WWW-Authenticate”：“基本领域=...”

告诉您的浏览器使用基本身份验证的标头。

Answer 9

如果要扩展 WebSecurityConfigurerAdapter，可以将 true 传递给超级构造函数以禁用默认值。
如果您这样做，您可能需要提供其他 bean。

    /**
     * Creates an instance which allows specifying if the default configuration should be
     * enabled. Disabling the default configuration should be considered more advanced
     * usage as it requires more understanding of how the framework is implemented.
     *
     * @param disableDefaults true if the default configuration should be disabled, else
     * false
     */
    protected WebSecurityConfigurerAdapter(boolean disableDefaults) {
        this.disableDefaults = disableDefaults;
    }

如果您只想出于测试目的禁用它 - 我没有完全禁用自动配置，而是在“SecurityConfiguration”之外创建了一个“InsecurityConfiguration”，并使用 Spring Profile 或 Property 值激活它。

从技术上讲，安全性仍处于配置状态，但完全开放。

@Configuration
@ConditionalOnProperty(prefix = "security", value = "disabled", havingValue = "true")
public class InsecurityConfiguration extends WebSecurityConfigurerAdapter {

    private final static Logger log = LoggerFactory.getLogger(InsecurityConfiguration.class);

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        log.warn("configuring insecure HttpSecurity");
        http.authorizeRequests().anyRequest().permitAll();
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        log.warn("configuring insecure WebSecurity");
        web.ignoring().antMatchers("/**");
    }

}

注意这是针对 mvc，而不是 webflux。对于 Webflux，您应该像 Bryan 提到的那样创建一个 SecurityWebFilterChain。

这就是我在使用 JWT 时通常在 webflux 中禁用基本身份验证的方式 -

    @Bean
    public SecurityWebFilterChain configure(ServerHttpSecurity http) {

        http
        .authorizeExchange().anyExchange().authenticated().and()
            .httpBasic().disable()
            .formLogin().disable()
            .logout().disable()
            .oauth2ResourceServer()
            .jwt()
            .and()
                .and().exceptionHandling().accessDeniedHandler(problemSupport);
        return http.build();
    }

Answer 10

如果我在 application.yml 中将 spring.security.enabled 属性设置为 false 以禁用 spring 安全性，我已经利用 @ConditionalOnProperty 加载以下 SecurityConfig.java 类，它就像一个魅力。

@ConditionalOnProperty(name = "spring.security.enabled", havingValue = "false")
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests().antMatchers("/").permitAll();
    }
}

Answer 11

在 Spring boot 2 中，无法通过 application.properties 文件禁用基本身份验证。但唯一的就是使用注解

@EnableAutoConfiguration(exclude = {SecurityAutoConfiguration.class})

在主类中。 有效

Answer 12

问题出在 org.springframework.security.web.server.authorization.ExceptionTranslationWebFilter

它有private ServerAuthenticationEntryPoint authenticationEntryPoint = new HttpBasicServerAuthenticationEntryPoint();

所以在 ServerHttpSecurity 初始化期间修复它添加：

http.exceptionHandling().authenticationEntryPoint(HttpStatusServerEntryPoint(HttpStatus.FORBIDDEN))

看起来 vanilla (servlet) spring 使用 org.springframework.security.config.annotation.web.configurers.ExceptionHandlingConfigurer#createDefaultEntryPoint

private AuthenticationEntryPoint createDefaultEntryPoint(H http) {
        if (this.defaultEntryPointMappings.isEmpty()) {
            return new Http403ForbiddenEntryPoint();
        }
        if (this.defaultEntryPointMappings.size() == 1) {
            return this.defaultEntryPointMappings.values().iterator().next();
        }
        DelegatingAuthenticationEntryPoint entryPoint = new DelegatingAuthenticationEntryPoint(
                this.defaultEntryPointMappings);
        entryPoint.setDefaultEntryPoint(this.defaultEntryPointMappings.values().iterator()
                .next());
        return entryPoint;
    }

旁注：构建器样式 bean 中的可变字段（如 ExceptionTranslationWebFilter）使 Spring 代码难以调试（也太神奇的配置）

Answer 13

要禁用 Spring Boot Reactive Web 应用程序的默认安全性，请在类路径中也有执行器时使用以下排除项。

@SpringBootApplication(exclude = {ReactiveSecurityAutoConfiguration.class, ReactiveManagementWebSecurityAutoConfiguration.class })

Answer 14

您应该添加@EnableWebSecurity 以启用自定义安全配置。 之后只需禁用表单登录

@Configuration
@EnableWebSecurity
public class StackWebSecurityConfigurerAdapter extends 
WebSecurityConfigurerAdapter {
 @Override
 protected void configure(HttpSecurity http) throws Exception {
    http.formLogin().disable();
 }

}