我希望我的服务仅对传入的 POST/PUT/DELETE 请求执行身份验证，并绕过任何 GET 请求。 Spring 版本低于 3.1，具有 ‘filters=”none”’ 属性，可用于绕过特定 URL 模式的所有安全过滤器。在 3.1 中，'filters=”none”' 已被弃用，替代解决方案是对“http”元素使用“security=”none”' 属性。这不支持基于传入请求类型（GET/PUT/POST/DELETE）的配置。
我使用的是 Spring 3.1.1，当前配置如下：
<!-- Just un-comment any resource if you don't want authentication to be done on them -->
<http pattern="/base/version" security="none"/>
<!-- Secure resources -->
<http create-session='stateless' entry-point-ref="tokenAuthenticationEntryPoint">
<custom-filter position="PRE_AUTH_FILTER" ref="tokenAuthenticationFilter" />
<intercept-url pattern="/v1/abc/**" method="GET" filters="none"/> //This doesn’t work currently
<intercept-url pattern="/v1/abc/**" method="POST" access="ROLE_USER"/>
<intercept-url pattern="/v1/abc/**" method="PUT" access="ROLE_USER"/>
<intercept-url pattern="/v1/abc/**" method="DELETE" access="ROLE_USER"/>
<intercept-url pattern="/**" access="ROLE_USER" />
</http>
如何绕过 Spring 3.1 中的pattern="/v1/abc/**" method="GET" 的安全过滤器？
我找到了解决该问题的方法 - 使用基于表达式的访问控制，我使用了 access="permitAll" 来配置授权而不禁用过滤器。
<!-- Just un-comment any resource if you don't want authentication to be done on them -->
<http pattern="/base/version" security="none"/>
<!-- Secure resources -->
<http create-session='stateless' entry-point-ref="tokenAuthenticationEntryPoint" use- expressions="true">
<custom-filter position="PRE_AUTH_FILTER" ref="tokenAuthenticationFilter" />
<intercept-url pattern="/v1/abc/**" method="GET" access="permitAll"/>
<intercept-url pattern="/v1/abc/**" method="POST" access="hasRole('ROLE_USER')"/>
<intercept-url pattern="/v1/abc/**" method="PUT" access="hasRole('ROLE_USER')"/>
<intercept-url pattern="/v1/abc/**" method="DELETE" access="hasRole('ROLE_USER')"/>
<intercept-url pattern="/**" access="hasRole('ROLE_USER')" />
</http>
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
