在SpringBoot中的SpringSecurity的配置类中，http.permitAll()与web.ignoring()的区别?
虽然这两个都是继承WebSecurityConfigurerAdapter后重写的方法，但是http.permitAll不会绕开springsecurity的过滤器验证，相当于只是允许该路径通过过滤器，而web.ignoring是直接绕开spring security的所有filter，直接跳过验证。
permitAll配置实例
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
public void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/css/**", "/js/**","/fonts/**").permitAll()
.anyRequest().authenticated();
}
}
web ignore配置实例
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
public void configure(WebSecurity web) throws Exception {
web.ignoring().antMatchers("/css/**");
web.ignoring().antMatchers("/js/**");
web.ignoring().antMatchers("/fonts/**");
}
}
二者区别
顾名思义，WebSecurity主要是配置跟web资源相关的，比如css、js、images等等，但是这个还不是本质的区别，关键的区别如下：
- ignore是完全绕过了spring security的所有filter，相当于不走spring security，所以ignore只适合配置静态资源的过滤，不适合api的过滤，过滤api就调用不了api了
- permitall没有绕过spring security，其中包含了登录的以及匿名的。
关于springboot security自定义拦截器 使用 permitAll() 之后仍然会走过滤器的解决方法
前言
依然是我负责的认证模块，出现了业务上的问题，想要使某些接口不走过滤链，但是再security上配置
.antMatchers("/**").permitAll()
之后，前端访问进来，依然会走我的 token 过滤器
public class JWTAuthorizationFilter extends BasicAuthenticationFilter { ... }
解决方法一
尝试过，在获取到token为空的时候，判断一下请求地址是不是某些不需要token的接口，例如 短信验证码接口
// 如果请求头中没有token信息则直接放行了
if (null == authorization || ("").equals(authorization) || ("null").equals(authorization)|| userType == null) { if(request.getServletPath().equals("/login/verificationCode")){ chain.doFilter(request, response); return; } this.responseMsg(RestResult.failure(ErrorCode.SYS_ERROR),response); return; }
这样子做看起来是可以解决问题，但是也引起了其他问题，例如后期的扩展太麻烦，我需要不断的往if里面塞东西，就觉得很傻*，于是有了第二种想法。
解决方法二
配置某些接口直接不进入过滤链，在security的config中配置
@Override public void configure(WebSecurity web) { //解决静态资源被拦截的问题 web.ignoring().antMatchers("/login/verificationCode","/images/**"); }
如此，比上一个方法好了不止一点点。
Spring Security permitAll开放页面权限 解除token验证的问题
使用Spring Security做权限认证，通常有些页面需要开放某些页面不需要权限验证，比喻登录页面，注册页面等，也就是无论你什么权限（包括访客）都能访问到页面，要让某个页面设置所有权限都能访问也很简单
1.Spring Security设置开放某个页面访问权限
@Configuration public class ResourceServerConfigurer extends ResourceServerConfigurerAdapter { @Override public void configure(HttpSecurity http) throws Exception { //开放接口 http.authorizeRequests() .antMatchers("/fileCallback").permitAll() .anyRequest() .authenticated(); } }
2.已经开放权限的页面token验证问题
按照上面设置了某个页面可以开放访问，但是问题是：如果访问这个页面还是带了token,或者header 中 携带 Authorization Bearer xxxx，就会验证这个token,如果验证失败，不好意思虽然开放了访问权限，但是token验证失败，还是不能访问，所以设置了开放权限相当于没有设置，那么怎么解决？
3.解决方法
其实这也怪不得spring security，你都携带验证信息了，表示你需要框架验证你的权限
那么我们只能去掉这个验证信息
spring-security的认证为一系列过滤器链。我们只需定义一个比OAuth2AuthenticationProcessingFilter更早的过滤器拦截指定请求，去除header中的Authorization Bearer xxxx即可
添加PermitAuthenticationFilter类
添加PermitAuthenticationFilter类拦截指定请求，清空header中的Authorization Bearer xxxx
@Component("permitAuthenticationFilter")
@Slf4j
public class PermitAuthenticationFilter extends OncePerRequestFilter {
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
log.info("当前访问的地址:{}", request.getRequestURI());
if ("/permitAll".equals(request.getRequestURI())) {
request = new HttpServletRequestWrapper(request) {
private Set<String> headerNameSet;
@Override
public Enumeration<String> getHeaderNames() {
if (headerNameSet == null) {
// first time this method is called, cache the wrapped request's header names:
headerNameSet = new HashSet<>();
Enumeration<String> wrappedHeaderNames = super.getHeaderNames();
while (wrappedHeaderNames.hasMoreElements()) {
String headerName = wrappedHeaderNames.nextElement();
if (!"Authorization".equalsIgnoreCase(headerName)) {
headerNameSet.add(headerName);
}
}
}
return Collections.enumeration(headerNameSet);
}
@Override
public Enumeration<String> getHeaders(String name) {
if ("Authorization".equalsIgnoreCase(name)) {
return Collections.<String>emptyEnumeration();
}
return super.getHeaders(name);
}
@Override
public String getHeader(String name) {
if ("Authorization".equalsIgnoreCase(name)) {
return null;
}
return super.getHeader(name);
}
};
}
filterChain.doFilter(request, response);
}
}
添加PermitAllSecurityConfig配置
添加PermitAllSecurityConfig配置用于配置PermitAuthenticationFilter
@Component("permitAllSecurityConfig")
public class PermitAllSecurityConfig extends SecurityConfigurerAdapter<DefaultSecurityFilterChain,HttpSecurity> {
@Autowired
private Filter permitAuthenticationFilter;
@Override
public void configure(HttpSecurity http) throws Exception {
http.addFilterBefore(permitAuthenticationFilter, OAuth2AuthenticationProcessingFilter.class);
}
}
修改MerryyouResourceServerConfig，增加对制定路径的授权
@Override public void configure(HttpSecurity http) throws Exception { // @formatter:off http.formLogin() .successHandler(appLoginInSuccessHandler)//登录成功处理器 .and() .apply(permitAllSecurityConfig) .and() .authorizeRequests() .antMatchers("/user").hasRole("USER") .antMatchers("/forbidden").hasRole("ADMIN") .antMatchers("/permitAll").permitAll() .anyRequest().authenticated().and() .csrf().disable(); // @formatter:ON }