@PreAuthorize（permitAll）仍需要验证

Question

我在Repository（与@RepositoryRestResource注释）以下示例方法：

@Override 
@PreAuthorize("permitAll") 
@PostAuthorize("permitAll") 
public Iterable<User> findAll(); 

但我仍然得到401 Unauthorized，事件，当我添加这些permitAll注释全储存库界面。

我得到这个作为我WebSecurityConfigurerAdapter：

@EnableWebSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
@Configuration 
class WebSecurityConfig extends WebSecurityConfigurerAdapter { 
    @Override 
    protected void configure(final HttpSecurity http) throws Exception { 
     http.authorizeRequests().anyRequest().fullyAuthenticated().and().httpBasic().and().csrf().disable(); 
    } 
} 

我想这将优先于这些方法的注释，BU我不知道如何解决这个问题。

Answer 1

方法安全性应用于Web安全筛选器之后。

由于您在您的配置中有anyRequest().fullyAuthenticated()，您的findAll方法将永远不会被击中。 anyRequest().fullyAuthenticated()表示所有尝试访问不具有完全用户身份验证的Web端点都将失败。

根据JavaDoc

指定URL是谁已经验证，是不是 “记住”用户允许的。

您需要在您的网络安全中添加其他路径，例如。

protected void configure(final HttpSecurity http) throws Exception { 
    http.authorizeRequests() 
      .anyRequest().fullyAuthenticated() 
      .antMatchers(HttpMethod.GET, '/somePath').permitAll() 
     .and() 
      .httpBasic() 
     .and() 
      .csrf().disable(); 
}