Spring Security自定义Filter后设置permitAll()不生效

2023-10-26 09:30:59

在 Spring Security 中正确排除自定义过滤器

在 Spring Security 中，自定义过滤器是一个功能强大的工具，可用于增强应用程序的安全性。然而，在某些情况下，您可能需要排除某些请求，使其不经过自定义过滤器的处理。本文将深入探讨如何在 Spring Security 中正确排除自定义过滤器，并解决 permitAll() 方法可能不起作用的情况。

Spring Security 自定义过滤器

自定义过滤器允许您在 Spring Security 过滤器链中插入自定义逻辑。您可以使用这些过滤器来执行各种任务，例如权限检查、请求处理和其他安全相关任务。

permitAll() 方法

permitAll() 方法允许您从 Spring Security 的权限检查中排除特定的请求。这对于不应受权限控制的请求（例如登录请求）很有用。

permitAll() 方法不起作用的情况

在某些情况下，permitAll() 方法可能不起作用。这是因为 permitAll() 方法仅从框架的权限检查中排除请求，而不是从过滤器链中排除请求。

从过滤器链中排除自定义过滤器

如果您需要从过滤器链中排除自定义过滤器，可以使用 securityMatcher 方法。该方法允许您指定一个请求匹配器，如果请求与匹配器匹配，则请求将被排除在过滤器链之外。

示例代码

以下代码示例演示了如何从过滤器链中排除自定义过滤器：

public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.securityMatcher(request -> !request.getRequestURI().startsWith("/login"))
            .addFilterBefore(new MyFilter(), BasicAuthenticationFilter.class);
    }

}