使用 Spring Security 恢复用户名和密码

Question

我在我的 Web 应用程序中使用 Spring Security。 我正处于恢复用户名和密码的阶段。

用例：

当用户忘记他们的密码时，他们将无法登录。
如何通过spring security向spring发送请求？

问题是 spring security 不会让任何事情通过，除非 logged in 和 authenticated。

我目前在我的配置中使用以下内容：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/loginrecover/**"); 
}

我认为这完全超出了安全范围并且很容易受到攻击。

还有其他方法可以实现吗？

Answer 1

我会用：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/loginrecover").permitAll()
...}

使用 permitAll 您不会禁用安全过滤器。 Spring Security 相关功能仍然可用。

使用 ignoring() 可以完全禁用该请求路径的安全过滤器链。 Spring Security 功能将不可用。这是安全性“无”的 java 配置。 这应该只用于静态资源。

是的，它是相似的，你需要一个未经授权的网站。但正确的方法是禁用访问而不是过滤器。