Spring Security实现接口放通的方法详解

在使用Spring Security时，有时需要对一些接口进行放通，不需要进行权限验证，那么该如何实现呢？下面让我们一起来详细讲解Spring Security如何实现接口放通。

1. 使用antMatchers()方法实现接口放通

antMatchers()方法可以用来指定要放行的接口url，可以使用通配符、正则表达式等方式来指定多个url，如下：

protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/api/public/**").permitAll() //对以/api/public/开头的接口放通
            .anyRequest().authenticated(); //其他所有接口全部需要权限验证
}

在上述配置中，对以/api/public/开头的接口进行放通，其他所有接口则需要进行权限验证。其中permitAll()表示放通，authenticated()表示需要进行权限验证。使用该方式配置简单快捷，适合对单个或少量的接口进行放通。

2. 自定义过滤器实现接口放通

如果需要对一些复杂的接口进行放通，使用antMatchers()方法可能会比较困难。这时可以通过自定义过滤器实现接口放通。

自定义过滤器的实现方式包括：

• 实现javax.servlet.Filter接口
• 继承OncePerRequestFilter类

下面是一个自定义的过滤器，用于对指定的接口进行放通：

@Component
public class ApiAuthenticationFilter extends OncePerRequestFilter {

    private static final Logger LOGGER = LoggerFactory.getLogger(ApiAuthenticationFilter.class);

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        if ("/api/public/api1".equals(request.getRequestURI())) { //放通/api/public/api1接口
            filterChain.doFilter(request, response);
            return;
        }
        //其他接口全部进行权限验证
        LOGGER.info("[ApiAuthenticationFilter] Begin authenticate request: {}", request.getRequestURI());
        filterChain.doFilter(request, response);
        LOGGER.info("[ApiAuthenticationFilter] End authenticate request: {}", request.getRequestURI());
    }
}

在上述代码中，对/api/public/api1接口进行放通，其他接口则需要进行权限验证。该自定义过滤器的使用方法如下：

protected void configure(HttpSecurity http) throws Exception {
    http.addFilterBefore(apiAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)
            .authorizeRequests()
            .antMatchers("/api/**").authenticated(); //对以/api/开头的接口进行权限验证
}

首先将自定义的过滤器ApiAuthenticationFilter添加到过滤器链中，然后使用antMatchers()方法对以/api/开头的接口进行权限验证。

示例说明

示例1：对登录接口放通

// 使用antMatchers()方法实现接口放通
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/api/public/login").permitAll() //对登录接口放通
            .anyRequest().authenticated(); 
}

// 自定义过滤器实现接口放通
@Component
public class ApiAuthenticationFilter extends OncePerRequestFilter {

    private static final Logger LOGGER = LoggerFactory.getLogger(ApiAuthenticationFilter.class);

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        if ("/api/public/login".equals(request.getRequestURI())) { //放通登录接口
            filterChain.doFilter(request, response);
            return;
        }
        //其他接口全部进行权限验证
        LOGGER.info("[ApiAuthenticationFilter] Begin authenticate request: {}", request.getRequestURI());
        filterChain.doFilter(request, response);
        LOGGER.info("[ApiAuthenticationFilter] End authenticate request: {}", request.getRequestURI());
    }
}

示例2：对某手机号码进行放通

// 使用antMatchers()方法实现接口放通
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/api/public/user/158****8888").permitAll() //对手机号码为158****8888的用户进行放通
            .anyRequest().authenticated(); 
}

// 自定义过滤器实现接口放通
@Component
public class ApiAuthenticationFilter extends OncePerRequestFilter {

    private static final Logger LOGGER = LoggerFactory.getLogger(ApiAuthenticationFilter.class);

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        if ("/api/public/user/158****8888".equals(request.getRequestURI())) { //放通手机号码为158****8888的用户
            filterChain.doFilter(request, response);
            return;
        }
        //其他接口全部进行权限验证
        LOGGER.info("[ApiAuthenticationFilter] Begin authenticate request: {}", request.getRequestURI());
        filterChain.doFilter(request, response);
        LOGGER.info("[ApiAuthenticationFilter] End authenticate request: {}", request.getRequestURI());
    }
}

以上是使用Spring Security实现接口放通的方法详解，包含了antMatchers()方法和自定义过滤器两种方式，可以根据需要选择适合自己的方式。