spring boot security设置忽略地址不生效的解决

当我们使用Spring Boot的Security模块时，经常会遇到需要设置特定路径忽略身份验证和授权的情况，但是在设置后却发现该路径还是需要认证。本文将介绍如何解决这个问题。

问题分析

在Spring Boot中，我们可以通过WebSecurity来配置安全策略。通过调用它的ignoring()方法，可以设置忽略的URL地址。但是，有时候我们会发现这样的设置并不起作用，URL地址依然需要认证。

这个问题的原因是Spring Boot默认会针对所有路径添加一个拦截器，这个拦截器会对本来应该忽略的路径进行拦截，导致忽略配置失效。

解决方案

我们需要使用.antMatchers()方法来定义忽略的路径，并且需要在这个方法之后再调用ignoring()方法。示例代码如下：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/static/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

在这个示例中，我们忽略了/static/路径，它的设定在.antMatchers()方法之前，这是为了让Spring Boot不去拦截这部分路径，之后再调用ignoring()方法来设置忽略路径。

示例说明

下面是两个常见的示例，说明如何设置忽略路径：

示例一：忽略静态资源路径

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/css/**", "/js/**", "/images/**", "/webjars/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

在这个示例中，我们忽略了/css/、/js/、/images/和/webjars/路径，这些都是静态资源路径。

示例二：忽略特定的路径

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/health", "/info");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

在这个示例中，我们忽略了/health和/info路径，这是Spring Boot Actuator的几个常见端点。这些路径一般被用于监控系统健康状态，而不需要进行身份验证和授权。

到此为止，我们已经解决了Spring Boot Security设置忽略地址不生效的问题。