URL中的Spring Security映射大写

Question

我在一个 JEE 项目上工作，使用 Spring Boot 框架。 对于身份验证，我使用 Spring Security，并在模板中指定了页面。

protected void configure(HttpSecurity http) throws Exception {  
    http
        .authorizeRequests()
            .antMatchers("/login").permitAll()
            .antMatchers("/token", "/index", "/index.html", "/main", "/main.html", "/main2", "/main2.html", "/recent1", "/recent1.html", "/recent2", "/recent2.html").hasRole("USER");

    http
        .csrf()
            .disable()
        .formLogin()
            .loginPage("/login")
            .failureUrl("/login?error=true")
            .defaultSuccessUrl("/index");

    http
        .logout()
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .logoutSuccessUrl("/login");
}

问题是，当我运行应用程序并使用大写字母（例如：localhost:8080/INDEX.HTML 或添加两个字母 localhost/index.httml）编写 URL 时，页面确实会出现而没有经过身份验证。

Answer 1

如果我理解正确，以下是所需的逻辑：

1. /login 不需要 Spring Security 保护（不需要角色）
2. 必须使用“USER”角色保护所有其他页面。

要实现这一点，您可以尝试以下方法：

@Override
public void configure(WebSecurity web) throws Exception {
    // configuring here URLs for which security filters
    // will be disabled (this is equivalent to using
    // security="none")
    web
        .ignoring()
            .antMatchers(
                    "/login"
            )
    ;
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().anyRequest().hasRole("USER");

    http.csrf().disable().formLogin()
            .loginPage("/login").failureUrl("/login?error=true")
            .defaultSuccessUrl("/index");

    http.logout()
            .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .logoutSuccessUrl("/login");
}

所以第 1 项（/login 上没有安全性）被移动到configure(WebSecurity)，第 2 项留在原来的configure(HttpSecurity) 中。