Spring保护Web应用程序和Rest应用程序

Question

我读了很多关于如何配置spring安全性的手册，但是仍然对配置有所保留。 所以我想配置rest呼叫和其他http呼叫。 据我了解，我可以为Web应用程序创建/ server / **之类的URL，为rest应用程序创建/ rest / **之类的URL。 对于Web应用程序URL的任何调用，我想创建一个登录页面（当用户未通过身份验证时），但是对于其余应用程序，我想触发未授权的代码。

我通过扩展WebSecurityConfigurerAdapter来使用Spring注释

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable().authorizeRequests()
            .antMatchers("/").access("hasRole('ROLE_USER')")
            .antMatchers("/server/*").access("hasRole('ROLE_USER')")
            .and()
            .formLogin().loginPage("/login").permitAll().failureUrl("/login?error")
            .usernameParameter("username")
            .passwordParameter("password")
            .and()
            .exceptionHandling()
            .accessDeniedPage("/accessDenied");
}

对于服务器来说，它工作正常，但是如果我尝试在浏览器中调用/ rest / [something]时在此处添加/ rest，它将始终将我转发到/ login页面。 我不明白为什么，这让我很沮丧。 感谢您提供任何有用的回复。

Answer 1

你有这个：

.antMatchers("/").access("hasRole('ROLE_USER')")
            .antMatchers("/server/*").access("hasRole('ROLE_USER')")
            .and()
            .formLogin()

意味着/访问需要ROLE_ACCESS并进行身份验证，直接发送至formLogin

您需要多个身份验证配置。

参见http://docs.spring.io/autorepo/docs/spring-security/4.0.0.CI-SNAPSHOT/reference/htmlsingle/

在其中之一中，您需要像这样的东西

http
        .antMatcher("/rest/**")
        .exceptionHandling().authenticationEntryPoint(new AccessDenyEntryPoint()).and()                
        .authorizeRequests().antMatchers("/spring/**").denyAll();

Answer 2

如果您不想验证其余网址，则必须再添加一个.antMatchers("/rest/*").permitAll() 。