在 Spring Boot 和 Spring Security 应用程序中提供静态 Web 资源

Question

我正在尝试开发 Spring Boot Web 应用程序并使用 Spring 安全 Java 配置对其进行保护。

按照here in Spring blog 的建议将我的静态网络资源放入“src/main/resources/public”后，我就可以获取静态资源了。即在浏览器中点击 https://localhost/test.html 会提供 html 内容。

问题

启用 Spring Security 后，点击静态资源 URL 需要身份验证。

我的相关 Spring Security Java 配置如下所示：-

@Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.
            authorizeRequests()
                .antMatchers("/","/public/**", "/resources/**","/resources/public/**")
                    .permitAll()
                .antMatchers("/google_oauth2_login").anonymous()
                    .anyRequest().authenticated()
                .and()
                .formLogin()
                    .loginPage("/")
                    .loginProcessingUrl("/login")
                    .defaultSuccessUrl("/home")
                    .and()
                    .csrf().disable()
                    .logout()
                        .logoutSuccessUrl("/")
                        .logoutUrl("/logout") // POST only
                .and()
                    .requiresChannel()
                    .anyRequest().requiresSecure()
                .and()
                    .addFilterAfter(oAuth2ClientContextFilter(),ExceptionTranslationFilter.class)
                    .addFilterAfter(googleOAuth2Filter(),OAuth2ClientContextFilter.class)
                .userDetailsService(userService);
        // @formatter:on
    }

我应该如何配置 antMatchers 以允许将静态资源放置在 src/main/resources/public 中？

Answer 1

有几点需要注意：

• Ant 匹配器匹配请求路径，而不是文件系统上资源的路径。
• src/main/resources/public 中的资源将从应用程序的根目录提供。 例如，src/main/resources/public/hello.jpg 将从 http://localhost:8080/hello.jpg 提供服务

这就是您当前的匹配器配置不允许访问静态资源的原因。要使/resources/** 工作，您必须将资源放在src/main/resources/public/resources 并通过http://localhost:8080/resources/your-resource 访问它们。

当您使用 Spring Boot 时，您可能需要考虑使用其默认值而不是添加额外的配置。默认情况下，Spring Boot 将允许访问 /css/**、/js/**、/images/** 和 /**/favicon.ico。例如，您可以拥有一个名为 src/main/resources/public/images/hello.jpg 的文件，并且无需添加任何额外配置，无需登录即可在 http://localhost:8080/images/hello.jpg 访问它。您可以在允许访问的 web method security smoke test 中看到这一点到 Bootstrap CSS 文件，无需任何特殊配置。

Answer 2

  @Override
      public void configure(WebSecurity web) throws Exception {
        web
          .ignoring()
             .antMatchers("/resources/**"); // #3
      }

忽略任何以“/resources/”开头的请求。这类似于在使用 XML 命名空间配置时配置 http@security=none。

Answer 3

这可能同时是一个答案（对于 spring boot 2）和一个问题。 如果您使用扩展自

WebSecurityConfigurerAdapter

如果您不使用单独的安全机制，一切都会照旧吗？

在安迪·威尔金森（Andy Wilkinson）在上面的回答中指出，在较旧的 Spring Boot 版本（1.5 及以下）中，默认情况下允许使用 public/** or static/** 等位置。

所以总结这个问题/答案 - 如果您使用带有 spring security 的 spring boot 2 并且具有单独的安全机制，则您必须排他地允许访问放置在任何路线上的静态内容。像这样：

@Configuration
public class SpringSecurityConfiguration extends WebSecurityConfigurerAdapter {

private final ThdAuthenticationProvider thdAuthenticationProvider;

private final ThdAuthenticationDetails thdAuthenticationDetails;

/**
 * Overloaded constructor.
 * Builds up the needed dependencies.
 *
 * @param thdAuthenticationProvider a given authentication provider
 * @param thdAuthenticationDetails  given authentication details
 */
@Autowired
public SpringSecurityConfiguration(@NonNull ThdAuthenticationProvider thdAuthenticationProvider,
                                   @NonNull ThdAuthenticationDetails thdAuthenticationDetails) {
    this.thdAuthenticationProvider = thdAuthenticationProvider;
    this.thdAuthenticationDetails = thdAuthenticationDetails;
}

/**
 * Creates the AuthenticationManager with the given values.
 *
 * @param auth the AuthenticationManagerBuilder
 */
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) {

    auth.authenticationProvider(thdAuthenticationProvider);
}

/**
 * Configures the http Security.
 *
 * @param http HttpSecurity
 * @throws Exception a given exception
 */
@Override
protected void configure(HttpSecurity http) throws Exception {

    http.authorizeRequests()
            .requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
            .antMatchers("/management/**").hasAnyAuthority(Role.Role_Engineer.getValue(),
            Role.Role_Admin.getValue())
            .antMatchers("/settings/**").hasAnyAuthority(Role.Role_Engineer.getValue(),
            Role.Role_Admin.getValue())

            .anyRequest()
            .fullyAuthenticated()
            .and()
            .formLogin()
            .authenticationDetailsSource(thdAuthenticationDetails)
            .loginPage("/login").permitAll()
            .defaultSuccessUrl("/bundle/index", true)
            .failureUrl("/denied")
            .and()
            .logout()
            .invalidateHttpSession(true)
            .logoutSuccessUrl("/login")
            .logoutUrl("/logout")
            .and()
            .exceptionHandling()
            .accessDeniedHandler(new CustomAccessDeniedHandler());
}

}

请注意这行新代码：

.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()

如果您使用 spring boot 1.5 及以下版本，则不需要明确允许这些位置（静态/公共/webjars 等）。

这是官方说明，新的安全框架相对于旧版本本身的变化：

Security changes in Spring Boot 2.0 M4

我希望这对某人有所帮助。 谢谢！ 祝你有美好的一天！

Answer 4

经过 20 多个小时的研究，这是最终的解决方案。

第 1 步。 将“MvcConfig.java”添加到您的项目中。

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.EnableWebMvc;
import org.springframework.web.servlet.config.annotation.ResourceHandlerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter;

@Configuration
public class MvcConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
        registry
                .addResourceHandler("/resources/**")
                .addResourceLocations("/resources/");
    }
}

第 2 步。 将 configure(WebSecurity web) 覆盖添加到您的 SecurityConfig 类

@Override
    public void configure(WebSecurity web) throws Exception {
        web
                .ignoring()
                .antMatchers("/resources/**");
    }

第 3 步。 将所有静态资源放在 webapp/resources/..

Answer 5

如果您使用的是 webjars。您需要在 configure 方法中添加它： http.authorizeRequests().antMatchers("/webjars/**").permitAll();

确保这是第一个语句。例如：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/webjars/**").permitAll();
        http.authorizeRequests().anyRequest().authenticated();
         http.formLogin()
         .loginPage("/login")
         .failureUrl("/login?error")
         .usernameParameter("email")
         .permitAll()
         .and()
         .logout()
         .logoutUrl("/logout")
         .deleteCookies("remember-me")
         .logoutSuccessUrl("/")
         .permitAll()
         .and()
         .rememberMe();
    }

您还需要拥有这个才能启用 webjars：

@Configuration
    public class MvcConfig extends WebMvcConfigurerAdapter {
        ...
        @Override
        public void addResourceHandlers(ResourceHandlerRegistry registry) {
                registry.addResourceHandler("/webjars/**").addResourceLocations("classpath:/META-INF/resources/webjars/");
        }
        ...
    }

Answer 6

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        String[] resources = new String[]{
                "/", "/home","/pictureCheckCode","/include/**",
                "/css/**","/icons/**","/images/**","/js/**","/layer/**"
        };

        http.authorizeRequests()
                .antMatchers(resources).permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout().logoutUrl("/404")
                .permitAll();
        super.configure(http);
    }
}

Answer 7

我的 Spring Boot 应用程序遇到了同样的问题，所以我想如果我能与你们分享我的解决方案会很好。我只是简单地将 antMatchers 配置为适合特定类型的填充。就我而言，这只是 js 填充和 js.map。这是一个代码：

   @Configuration
   @EnableWebSecurity
   public class SecurityConfig extends WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
       http.authorizeRequests()
      .antMatchers("/index.html", "/", "/home", 
       "/login","/favicon.ico","/*.js","/*.js.map").permitAll()
      .anyRequest().authenticated().and().csrf().disable();
   }
  }

什么是有趣的。我发现 antMatcher 中的 resources path 像 "resources/myStyle.css" 根本不适合我。如果您的资源文件夹中有文件夹，只需将其添加到 antMatcher 中，例如 "/myFolder/myFille.js"* ，它应该可以正常工作。