Spring Security和EnableGlobalMethodSecurity

Question

我正在嘗試使用帶註釋的Spring Security java配置。基本上我想使用靜態配置的註解方法的組合。

http 
    .authorizeRequests() 
    .anyRequest().authenticated() 

而且

@Controller 
@RequestMapping({"/version", "/*/version"}) 
@PermitAll 
public class VersionController { 
// Implementation 
} 

不久，我想那@PermitAll必須比其他選民的優先級。這種情況可以使用@EnableGlobalMethodSecurity(jsr250Enabled = true)嗎？

Answer 1

我改變了我的觀點，並開始思考另一種解決方案。如果在春季安全開始之前我可以知道我的控制器，我可以通過處理它們來配置它。基本上，我創造了我實現的處理器和小出價簡化版本是：

@Component 
public class PermitAllProcessor { 

    private static final Logger logger = LoggerFactory.getLogger(PermitAllProcessor.class); 

    @Autowired 
    AbstractHandlerMethodMapping abstractHandlerMethodMapping; 


    public String[] process() { 
     Map<RequestMappingInfo, HandlerMethod> handlerMethods = abstractHandlerMethodMapping.getHandlerMethods(); 
     ArrayList<String> urls = Lists.newArrayList(); 
     for(Map.Entry<RequestMappingInfo, HandlerMethod> entry : handlerMethods.entrySet()) { 
     PermitAll annotation = getPermitAll(entry.getValue()); 
     if(annotation != null) { 
      Set<String> patterns = entry.getKey().getPatternsCondition().getPatterns(); 
      urls.addAll(patterns); 
     } 
     } 
     logger.info("Permitted urls as follows: {}", 
        StringUtils.collectionToDelimitedString(urls, ",", "[", "]")); 
     return urls.toArray(new String[urls.size()]); 
    } 

    private PermitAll getPermitAll(HandlerMethod value) { 
     PermitAll annotation = value.getMethodAnnotation(PermitAll.class); 
     if(annotation == null){ 
     annotation = value.getBeanType().getAnnotation(PermitAll.class); 
     } 
     return annotation; 
    } 
} 

基本上

.authorizeRequests() 
    .antMatchers(permitAllProcessor.process()).permitAll() 
    .anyRequest().authenticated(); 

Answer 2

據我知道這是不可能的使用方法的安全性，實現自己的目標，因爲請求處理管道如下所示：

1. 春季安全應用的網絡安全規則
2. DispatcherServlet選擇hanlder方法
3. 方法安全性適用於處理程序方法，如果它具有安全註釋

但是，您可以嘗試使用d ifferent方法（未測試）：描述here

用它來配置Spring Secuirty
例如，選擇RequestMappingInfo■對於具有自定義@PermitAll註釋，並創造一切方法都處理方法

• 提取元數據自定義RequestMatcher將返回true對這些方法的請求。然後配置Spring Security以允許每個人訪問匹配上述匹配器的URL。