Spring Security 5.x 配置ignoring不生效问题（已解决）

最新推荐文章于 2024-08-14 11:15:09 发布

一米阳光给的温暖

最新推荐文章于 2024-08-14 11:15:09 发布

阅读量768

点赞数

CC 4.0 BY-SA版权

文章标签： spring java 后端

本文链接：https://blog.youkuaiyun.com/qq_39670218/article/details/134026591

文章讲述了如何在SpringSecurity中，为了避免自定义过滤器拦截到指定为`ignore`的路径，需要移除自定义过滤器的@Component注解，以new方式添加到过滤器链，并在SecurityConfig中正确配置。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

问题描述

在webSecurity中忽略路径，但是仍然会被Spring Security过滤器拦截到。
解决方案是不要将自定义过滤器交给Spring管理，也就是移除自定义过滤器的@Component的注解，并且将自定义过滤器以new的方式手动传入过滤器链中，这时候ignoring配置的路径就生效了。

解决方案

// JwtAuthenticationFilter.java
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, @NonNull HttpServletResponse response, @NonNull FilterChain filterChain) throws ServletException, IOException {
		// ...自定过滤器逻辑
	}
}



// SecurityConfig.java
@Configuration
@RequiredArgsConstructor
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig {

    private final CustomAuthenticationEntryPoint customAuthenticationEntryPoint;
    private final CustomAccessDeniedHandler customAccessDeniedHandler;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
                .csrf().disable()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
                .authorizeRequests(authorize -> authorize
                        .antMatchers("/login/**").permitAll()
                        .anyRequest().authenticated()
                )
                // 配置自定义过滤器为手动创建的方式传入
                .addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)
                .build();
    }
	
    @Bean
    public WebSecurityCustomizer webSecurity(){
        return web -> web.ignoring().antMatchers("/login/**");
    }

}