如何在 Spring Boot 应用程序中将单个端点列入白名单？

Question

我是 Spring Boot 新手，正在尝试找出将 终点。我已启用 Spring Security。

我有一个带有端点 Hello 的控制器类，它应该返回“hello” 作为响应，并希望任何人无需身份验证即可访问此端点。

@RestController
@RequestMapping(value = {"/employee"})

public class EmployeeController {

    @Autowired
    EmployeeRepository empRepose;

    @Autowired
    EmployeeService empService;

    @Autowired
    private Utility utility;

    @PreAuthorize("permitAll()")
    @GetMapping(value = "/hello", produces = MediaType.APPLICATION_JSON_VALUE)
    public String home() {
        return "Hello Employee!";
    }
}

Spring 安全配置：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
@EnableWebSecurity
public class ApplicationBasicAuth extends WebSecurityConfigurerAdapter {

    @Autowired
    RegisterUser beanRegisteruser;

    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
       /* httpSecurity.csrf().disable()
                .authorizeRequests().anyRequest().authenticated()
                .and().httpBasic();*/

              /*httpSecurity
                        .httpBasic()
                        .and()
                        .authorizeRequests()
                        .antMatchers(HttpMethod.GET, "/employee/**").permitAll()
                        .and()
                        .csrf().disable();*/

        httpSecurity.csrf().disable();

        httpSecurity.authorizeRequests().anyRequest().permitAll();

    }

我尝试了很多方法来将所有端点甚至 1 个我不需要进行身份验证的端点列入白名单。

请帮我找出我在这里做错了什么。

Answer 1

您可以使用configure(WebSecurity web) 和/或configure(HttpSecurity http) 来实现，如果您同时使用它们，请注意您必须将configure(WebSecurity web) 保持在configure(HttpSecurity http) 之上。您可能会看到更多详细信息here

---

configure(WebSecurity web)

WebSecurityignoring() 方法的一般使用省略 Spring Security 和 Spring Security 的任何功能都将不可用。

@Override
public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/hello")
}

---

configure(HttpSecurity http)

您也可以将configure(HttpSecurity http) 方法与.permitAll() 一起使用，如下所示

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .authorizeRequests()
        .antMatchers("/hello").permitAll()
        .anyRequest().authenticated();
}