Jak zastosować filtr bezpieczeństwa sprężyn tylko w zabezpieczonych punktach końcowych?

Question

mam następującą konfigurację Wiosna zabezpieczeń:

httpSecurity 
      .csrf() 
      .disable() 
      .exceptionHandling() 
      .authenticationEntryPoint(unauthorizedHandler) 
      .and() 
      .sessionManagement() 
      .sessionCreationPolicy(SessionCreationPolicy.STATELESS) 
      .and() 
      .authorizeRequests() 
      .antMatchers("/api/**").fullyAuthenticated() 
      .and() 
      .addFilterBefore(authenticationTokenFilterBean(), UsernamePasswordAuthenticationFilter.class); 

The authenticationTokenFilterBean() jest stosowana nawet na punkty końcowe, które nie pasują /api/** wyraz. Próbowałem również dodać następujący kod konfiguracyjny:

@Override 
public void configure(WebSecurity webSecurity) { 
    webSecurity.ignoring().antMatchers("/some_endpoint"); 
} 

ale to nadal nie rozwiązało mojego problemu. Jak mogę powiedzieć, że bezpieczeństwo wiosenne stosuje filtry tylko w punktach końcowych pasujących do bezpiecznego wyrażenia URI? Dziękuję

Answer 1

Mam aplikacji z tym samym wymogiem i rozwiązywać je ja w zasadzie ograniczone Wiosna Security do danego mrówek meczu tupot (przy użyciu antMatcher) w następujący sposób:

http.antMatcher("/api/**").authorizeRequests() // 
     .anyRequest().authenticated() // 
     .and() 
     .addFilterBefore(authenticationTokenFilterBean(), UsernamePasswordAuthenticationFilter.class); 

można go odczytać w następujący sposób: dla http powołać się tylko na te konfiguracje pasujących do żądania ant wzór /api/** upoważniającą any request do authenticated użytkowników andadd filterauthenticationTokenFilterBean()beforeUsernamePasswordAuthenticationFilter. Dla wszystkich pozostałych wniosków ta konfiguracja nie ma wpływu.

Answer 2

Aby ominąć zabezpieczenia sprężynowe dla niektórych szczególnych rodzajów działania należy wykonać następujące czynności:

httpSecurity 
    .authorizeRequests() 
    .antMatchers("/some_endpoints").permitAll() 
    .anyRequest().authenticated() 
    .and() 
    ...