如何禁用 spring-security 登录屏幕？

Question

我正在使用spring-boot-starter-security依赖项，以利用spring-security的几个类。 但是因为我想将它集成到现有的vaadin应用程序中，所以我只想使用类，而不是 spring 的默认登录/身份验证屏幕。

如何禁用此屏幕？

我无法通过扩展WebSecurityConfigurerAdapter进行任何配置，因为我的主要条目 class 已经extends SpringBootServletInitializer 。 此外，vaadin 应用程序基本上始终在相同的 URL 路径上运行并使用内部导航。

@EnableAutoConfiguration
public class MyApp extends SpringBootServletInitializer { 

        @Override
        protected SpringApplicationBuilder configure(SpringApplicationBuilder application) {
            return application.sources(MyApp.class);
        }

        public static void main(String[] args) {
            SpringApplication.run(MyApp.class, args);
        }
}

那么，我可以做些什么来禁用登录屏幕，但可以使用 spring 安全功能？

Answer 1

您可以像这样使用基于 Java 的配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity security) throws Exception
    {
     security.httpBasic().disable();
    }
}

并重新启动您的应用程序，如果它自动刷新。

Answer 2

Spring Boot 中的默认安全性是 Basic。 您可以通过设置security.basic.enabled=false来禁用它。 更多关于这里和这里的信息。

Answer 3

通过从自动配置中排除它来禁用默认的 spring 安全性。 将SecurityAutoConfiguration.class添加到主类上@SpringBootApplication注释的exclude属性。 像下面这样：

@SpringBootApplication(exclude = { SecurityAutoConfiguration.class })
public class MyApplication {
    public static void main(String[] args) {
        SpringApplication.run(MyApplication.class, args);
    }
}

Answer 4

似乎有一个更简单的解决方案。

只需将此注释放在主类SpingBootApplication或与SpingBootApplication注释相同的位置

@EnableAutoConfiguration(exclude = {org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration.class})

Answer 5

要完全禁用登录路由，请使用 Spring Security 配置对象

以下代码段使用org.springframework.boot:2.1.6.RELEASE

@Configuration
@EnableWebSecurity
class SecurityConfig : WebSecurityConfigurerAdapter() {
  override fun configure(security: HttpSecurity) {
    super.configure(security)

    security.httpBasic().disable()

    security.cors().and().csrf().disable().authorizeRequests()
      .anyRequest().authenticated()
      .and().formLogin().disable() // <-- this will disable the login route
      .addFilter(JWTAuthorizationFilter(authenticationManager()))
      .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
  }

  @Bean
  fun corsConfigurationSource(): CorsConfigurationSource {
    val source = UrlBasedCorsConfigurationSource()
    val config = CorsConfiguration().applyPermitDefaultValues()
    config.addExposedHeader("Authorization")
    source.registerCorsConfiguration("/**", config)
    return source
  }
}

Answer 6

在主 spring-boot 应用程序类（具有 @SpringBootApplication 注释的类）上

@SpringBootApplication(exclude={SecurityAutoConfiguration.class})

Answer 7

这对我有用

            @Configuration
            @EnableWebSecurity
            public class SecurityConfig extends WebSecurityConfigurerAdapter {
                @Override
                protected void configure(HttpSecurity security) throws Exception
                {
                 //security.httpBasic().disable(); // Did work only for GET     
                 security.csrf().disable().authorizeRequests().anyRequest().permitAll(); // Works for GET, POST, PUT, DELETE
                }
            }          

Answer 8

如果有人仍然需要解决方案，请在 REST 控制器中放置一个方法，如下所示：

@RestController
public class myRestController{

    @GetMapping("/login")
    public String redirectTo(){
        return "yourRedirectLink";
    }

}

该解决方案非常适合与弹簧一起使用并在罐子中进行反应

Answer 9

这是为了帮助其他努力删除默认 Spring Boot 登录屏幕并拥有一些安全路径的人。 这对我使用 Spring Boot 2.3.4 和 spring-boot-security starter 和这篇文章： https : //www.toptal.com/spring/spring-security-tutorial帮助了我。 此配置允许对 /api/config-props 和 /actuator/health 进行 GET，但需要在任何其他执行器路径或任何其他 api 路径上进行身份验证。 然后最后允许对 /resources 或 /public 等中可能提供静态内容的任何其他位进行 GET。

  @Override
  protected void configure(HttpSecurity security) throws Exception {
    // Enable CORS and disable CSRF
    security = security.cors().and().csrf().disable();

    // Set session management to stateless
    security = security
            .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and();

    // Set permissions on endpoints
    security.authorizeRequests()
            // Our public endpoints, secured endpoints and then open everything else that is static resource stuff
            .antMatchers(HttpMethod.GET, "/api/config-props").permitAll()
            .antMatchers(HttpMethod.GET, "/actuator/health").permitAll()
            .antMatchers("/actuator**").authenticated()
            .antMatchers("/api/**").authenticated()
            .antMatchers(HttpMethod.GET, "/**").permitAll();
  }
}

Answer 10

只需从项目的 POM.xml 文件中删除/注释掉依赖项：

    <!--        <dependency>-->
<!--            <groupId>org.springframework.boot</groupId>-->
<!--            <artifactId>spring-boot-starter-security</artifactId>-->
<!--        </dependency>-->

和

    <!--        <dependency>-->
<!--            <groupId>org.springframework.security</groupId>-->
<!--            <artifactId>spring-security-test</artifactId>-->
<!--            <scope>test</scope>-->
<!--        </dependency>-->

Answer 11

您可以在新版本的 spring boot (3.0.0-m4) 和响应模型 ( webflux ) 中使用此代码

@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {
   @Bean
    public SecurityWebFilterChain filterChain(ServerHttpSecurity http) {
    return http
            .httpBasic().disable()
            .build();
}

}

Answer 12

应删除已弃用的答案

Answer 13

这段代码非常适合我，只需将它添加到您项目的主要 Class

@SpringBootApplication(exclude = { SecurityAutoConfiguration.class })

Answer 14

对我来说.httpBasic().disable()在浏览器中不起作用，如果未经授权，它仍然显示登录表单。

对我有什么帮助（webflux）：

security.exceptionHandling().authenticationEntryPoint { exchange, ex ->
    exchange.response.statusCode = HttpStatus.UNAUTHORIZED
    exchange.response.setComplete()
}

在幕后， WWW-Authenticate http header 导致它，Spring 将其添加到HttpBasicServerAuthenticationEntryPoint class。

Answer 15

请注意，在最近的 Spring 版本中，WebSecurityConfigurerAdapter 的使用已被弃用，您应该按照 Spring 文档https://spring.io/blog/2022/02/21/spring-security-without-the-使用 SecurityFilterChain 网络安全配置适配器

共享以下相同的代码

    @Configuration
    public class SecurityConfiguration {
        @Bean
        public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
            http
                .authorizeHttpRequests((authz) -> authz
                    .anyRequest().authenticated()
                )
                .httpBasic(withDefaults());
            return http.build();
        }
    
        @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring().requestMatchers("/*");
    }
    }

在 RequestMatchers 中，我允许没有 Spring Security 的所有端点，而您可以指定唯一需要在没有 Spring Security 的情况下公开的端点