java Spring安全Url通过匿名身份验证，但其凭据仍然指定（未知）被框架阻止

Question

我的安全性中有一个映射的url（RESTAPI）。设置了access=“IS\u AUTHENTICATED\u ANONYMOUSLY”的xml

如果我在没有凭据的情况下调用该端点，它可以正常工作，但是如果我指定了一些基本的身份验证（重要！未在db上的Spring Users表中提供，因为我不想由该端点上的框架进行身份验证，但我以后需要它们用于其他用途），Spring security会阻止访问。 我想问题在于Spring正确地允许匿名请求，但当我使用未知的凭据执行此操作时，框架仍会尝试对它们进行身份验证

有没有一种方法可以完全绕过特定url的spring安全性

Answer 1

Is there a way to completely bypass spring security for a specific url?

对。您可以将WebSecurity配置为忽略此URL：

public void configure(WebSecurity web) throws Exception {
    web.ignoring()
       .antMatchers("/foo-url");
}

然后，spring安全性将无法处理此URL