使用 Java Config 围绕 Spring Security 匿名访问的混乱

我将以下 Java 配置与 Spring Security 结合使用：

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .httpBasic();
}

基于此配置，所有请求都经过身份验证。当您在未经身份验证的情况下点击控制器时，AnonymousAuthenticationFilter将为您创建一个身份验证对象username=anonymousUser, role=ROLE_ANONYMOUS.

我试图提供对特定控制器方法的匿名访问，并尝试使用以下各项：

1. @Secured("ROLE_ANONYMOUS")
2. @Secured("IS_AUTHENTICATED_ANONYMOUSLY")

当调用控制器方法时，会给出以下响应： “HTTP 状态 401 - 需要完全身份验证才能访问此资源”

有人可以帮助我理解为什么我们会收到此消息以及原因ROLE_ANONYMOUS/IS_AUTHENTICATED_ANONYMOUSLY使用此配置似乎不起作用？

Thanks,
JP

您的安全配置正在阻止所有未经身份验证的请求。 您应该允许访问控制器

.antMatchers("/mycontroller").permitAll()

也可以看看：

• http://spring.io/blog/2013/07/03/spring-security-java-config-preview-web-security/ http://spring.io/blog/2013/07/03/spring-security-java-config-preview-web-security/