如何在 Spring Boot 中禁用一项服务的身份验证？

Question

我有一个 Spring Boot 应用程序，其中大部分页面都使用以下安全配置进行保护（您需要登录才能访问它们）。

@Configuration
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
class SecurityConfiguration extends
    WebSecurityConfigurerAdapter {


    @Autowired
    public void registerAuthentication(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user")
            .password("myapp")
            .roles("ADMIN")
            .and()
            .withUser("guest")
            .password("guest")
            .roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .httpBasic()
            .and()
            .authorizeRequests()
            .antMatchers("/index.html", "/home.html", "/login.html", "/")
            .permitAll()
            .anyRequest().authenticated().and()
            .csrf()
            .csrfTokenRepository(csrfTokenRepository())
            .and()
            .addFilterAfter(new CsrfHeaderFilter(), CsrfFilter.class);
    }

    private CsrfTokenRepository csrfTokenRepository() {
        final HttpSessionCsrfTokenRepository repository =
            new HttpSessionCsrfTokenRepository();
        repository.setHeaderName("X-XSRF-TOKEN");
        return repository;
    }
}

在我的应用程序类中，我有一个服务publicData，我希望无需身份验证即可访问它（即使用户未登录）。

@SpringBootApplication
@RestController
public class MyAppApplication {
    @RequestMapping("/resource")
    public Map<String,Object> home() {
        final Map<String,Object> model = new HashMap<>();
        model.put("id", UUID.randomUUID().toString());
        model.put("content", "Hello World");
        return model;
    }
    @RequestMapping("/publicData")
    public String publicData() {
        return ...;
    }
    @RequestMapping("/user")
    public Principal user(final Principal user) {
        return user;
    }
    public static void main(final String[] args) {
        SpringApplication.run(MyAppApplication.class, args);
    }
}

我该怎么做？

我试过了

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .httpBasic()
        .and()
        .authorizeRequests()
        .antMatchers("/index.html", "/home.html", "/login.html", "/")
        .permitAll()
        .anyRequest().authenticated().and()
        .csrf()
        .csrfTokenRepository(csrfTokenRepository())
        .and()
        .addFilterAfter(new CsrfHeaderFilter(), CsrfFilter.class)
        .and()
        .authorizeRequests()
        .antMatchers("/publicData").permitAll();
}

但是没有用。

Answer 1

您可以创建一个具有所有访问权限的角色，并仅在某些方法中使用 Spring 安全注释授予该访问权限 http://docs.spring.io/spring-security/site/docs/3.0.x/reference/el-access.html

当然，每个用户在连接到您的应用程序时都需要自动获取此角色。

<http use-expressions="true">
  <intercept-url pattern="/*"
      access="hasRole('admin')"/>
</http>

然后在您的免费访问方法中

@PreAuthorize("hasRole('admin')")
public void create(Contact contact);