Spring Security静态资源过滤（11）

原创已于 2023-10-18 14:51:34 修改 · 372 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#spring

于 2023-10-18 14:49:16 首次发布

security&oauth2 专栏收录该内容

14 篇文章

订阅专栏

文章讲述了如何在SpringSecurity中配置，使特定的静态资源请求（如/mylogin.html和/loginNew.html）不经过安全过滤器，通过重写`configure(WebSecurity)`方法实现，以提高性能和用户体验。

在一个实际项目中，并非所有的请求都需要经过Spring Security过滤器，有一些特殊的请求，例如静态资源等，一般来说并不需要经过Spring Security过滤器链，用户如果访问这些静态资源，直接返回对应的资源即可。

回顾关于WebSecurity的讲解，提到它里边维护了一个ignoredRequests变量, 该变量，记录的就是所有需要被忽略的请求，这些被忽略的请求将不再经过Spring Security过滤器。例如，静态资源目录结构如图所示。
在这里插入图片描述

现在这些静态资源的访问不需要经过Spring Security过滤器，具体配置方案如下：

public class SecurityConfig extends WebSecurityConfigurerAdapter{
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/mylogin.html","/loginNew.html");
    }
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .csrf().disable();
    }
}

重写configure(WebSecurity)方法，并配置需要忽略的请求，这些需要忽略的地址，最终都会被添加到ignoredRequests集合中，并最终以过滤器链的形式呈现出来。换句话说，上面的配置中一共包含了五个过滤器链：configure( W eb Security)方法中配置的四个以及HttpSecurity 中配置的一个(即/**)。如果大家不能理解为什么会有五个过滤器链，可以回顾关于WebSecurity的分析以及关于FilterChainProxy的分析，这里不再赘述。

配置完成后，再次启动项目，此时不需要认证就可以访问/login.html页面。