Spring Security中使用authorizeRequests遇到的问题小结

（注：以下是针对题目中“Spring Security中使用authorizeRequests遇到的问题小结”的完整攻略）

问题描述

在使用Spring Security过程中，我们可能会使用到 .authorizeRequests() 方法，它用于配置访问控制，但在配置过程中可能会出现一些问题。

问题分析

常见的 .authorizeRequests() 方法配置问题有以下两点：

问题一：访问控制不生效

在配置了 .authorizeRequests() 方法后，我们发现访问控制却没有生效。这可能是因为我们忘记将 .httpBasic() 或 .formLogin() 方法添加到我们的 HttpSecurity 配置中，从而导致认证未生效。

解决方法：

在 HttpSecurity 配置中添加相应的身份验证方法，如下例中的 .formLogin()

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/signup").permitAll()
            .anyRequest().authenticated() // 需要身份验证
            .and()
        .formLogin()
            .loginPage("/login") // 登录表单
            .permitAll();
}

问题二：配置无效

我们在使用 .authorizeRequests() 方法时，可能在配置过程中出现一些错误，导致配置无效。比如以下的示例：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/hello").authenticated()
            .and()
        .authorizeRequests() // duplicated
            .antMatchers("/world").authenticated();
}

这里我们定义了两个 .authorizeRequests()，第二个定义则会使第一个 .authorizeRequests() 的配置无效。

解决方法：

将多个 .authorizeRequests() 方法合并为单个方法，并在该方法中添加完整的配置信息，如下所示：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/hello").authenticated()
            .antMatchers("/world").authenticated()
            .and()
        .formLogin();
}

总结

在使用 .authorizeRequests() 方法时，我们需要注意以下问题：

1. 检查身份验证是否添加到了配置中；
2. 避免重复添加 .authorizeRequests() 方法。

以上就是使用 .authorizeRequests() 方法可能会遇到的问题及解决方法的总结。