为包含路径变量的 url 禁用 spring security

Question

我正在工作的项目antMatcher实现了 spring security，如下所示：

http.authorizeRequests()
    .antMatchers("/v1/users/**").authenticated()
    .antMatchers(HttpMethod.POST, "/v1/users/*/do").permitAll()

当我尝试访问时/v1/users/2/do出现未经授权的错误，但我希望它可以访问，因为我将“permitAll()”添加到 URL 模式。

我努力了：

.antMatchers(HttpMethod.POST, "/v1/users/{id}/do").permitAll()

我仍然得到未经授权的访问。

Answer 1

您需要切换行以便首先放置最具体的规则：http.authorizeRequests()     .antMatchers(HttpMethod.POST, "/v1/users/*/do").permitAll()     .antMatchers("/v1/users/**").authenticated()这是因为使用了第一个匹配项（按照它们声明的顺序）。由于您首先拥有最一般的规则，因此这是一个被考虑在内的规则，忽略下一个可能的匹配项（并禁止请求）。