Korrekte Verwendung von WebSecurity in WebSecurityConfigurerAdapter

Deinem Beispiel bedeutet, dass der Frühling (Web -) Sicherheit ist ignorieren URL-Muster, die mit dem Ausdruck übereinstimmen, die Sie definiert haben ("/static/**"). Diese URL wird übersprungen, Spring Security, daher nicht gesichert.

Ermöglicht das hinzufügen RequestMatcher Instanzen, der sollte das Spring Security ignorieren sollte. Web-Sicherheit von Spring Security (einschließlich der SecurityContext) wird es nicht HttpServletRequest, entsprechen. In der Regel die Anforderungen, die registriert werden soll, dass der nur statische Ressourcen. Für Anfragen, die dynamisch sind, ordnen die Anforderung, dass alle Benutzer statt.

Sehen WebSecurity API-Dokumentation für weitere Informationen.

Sie können so viele URL-Muster gesichert oder ungesichert, wie Sie wollen.

Mit Spring Security haben Sie Authentifizierung und access control Funktionen für die web-Schicht einer Anwendung. Sie können auch einschränken, die Benutzer einer bestimmten Rolle Zugriff auf eine bestimmte URL und so weiter.

Lesen Sie die Spring Security reference enthält weitere details:

http://docs.spring.io/spring-security/site/docs/current/reference/html/

Bestellung Vorrang von URL-Mustern

Beim Abgleich der angegebenen Muster gegen eine eingehende Anfrage, die Zuordnung erfolgt in der Reihenfolge, in der die Elemente deklariert sind. Also die spezifischen Muster entspricht, sollte zuerst kommen und die meisten Allgemeinen sollte kommen letzten.

Gibt es mehrere Kinder, um die http.authorizeRequests () - Methode
jeder matcher betrachtet in der Reihenfolge in der Sie deklariert wurden.

Muster sind immer in der Reihenfolge ausgewertet der Sie definiert sind. Daher ist es wichtig, dass mehr spezifische Muster definiert sind, höher in der Liste als weniger spezifische Muster.

Lesen Sie hier weitere details:

http://docs.spring.io/spring-security/site/docs/current/reference/htmlsingle/#filter-security-interceptor

Beispiel 1

Allgemeine Verwendung von WebSecurity ignoring() Methode unterlässt, Spring Security, und keiner von Spring Security-Funktionen zur Verfügung stehen.
WebSecurity-basiert oben HttpSecurity

(in einer XML-Konfiguration können Sie dies schreiben: <http pattern="/resources/**" security="none"/>).

@Override
public void configure(WebSecurity web) throws Exception {
    web
        .ignoring()
        .antMatchers("/resources/**")
        .antMatchers("/publics/**");
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/publics/**").hasRole("USER") //no effect
        .anyRequest().authenticated();
}

WebSecurity im obigen Beispiel kann der Frühling ignorieren /resources/** und /publics/**. Daher die .antMatchers("/publics/**").hasRole("USER") im HttpSecurity ist unberücksichtigt.

Diese wird es unterlassen die Anfrage Muster aus der security-filter-Kette komplett.
Beachten Sie, dass alles, was mit diesem Pfad werden dann keine Authentifizierung oder Autorisierung Dienstleistungen angewendet und wird frei zugänglich sein.

Beispiel 2

Muster sind immer ausgewertet um. Die unten Abstimmung ist ungültig, da die ersten Spiele jede Anfrage und werden nie das zweite Spiel:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/**").hasRole("USER")
        .antMatchers("/admin/**").hasRole("ADMIN"):
}