SpringSecurity中对接口进行匿名访问自定义@Anonymous注解

提问：我需要自定义一个注解@Anonymous来添加到接口的方法上，对该方法进行匿名访问，怎么实现？

要自定义一个@Anonymous注解，并使用该注解来实现对接口方法的匿名访问控制，可以按照以下步骤进行实现：

1. 创建@Anonymous注解，该注解可以定义在类、方法、字段等级别上：

import java.lang.annotation.*;

@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface Anonymous {
}

在上述代码中，@Target({ElementType.TYPE, ElementType.METHOD})表示该注解可以被应用到类和方法级别上；@Retention(RetentionPolicy.RUNTIME)表示该注解可以在运行时被保留；@Documented表示该注解可以被javadoc等工具文档化。

2. 在Spring Security的配置类中，创建一个AnonymousAccessFilter过滤器，该过滤器用于匿名访问控制：

import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.access.AnonymousAuthenticationFilter;
import org.springframework.stereotype.Component;

@Component
public class AnonymousFilterConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.addFilterBefore(new AnonymousAccessFilter(), AnonymousAuthenticationFilter.class);
    }
}

在上述代码中，addFilterBefore()方法用于在AnonymousAuthenticationFilter过滤器之前添加自定义的AnonymousAccessFilter过滤器。

3. 在AnonymousAccessFilter过滤器中，实现匿名访问控制的逻辑：

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.List;
import java.util.stream.Collectors;

import org.springframework.core.annotation.AnnotationUtils;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.authentication.AnonymousAuthenticationFilter;
import org.springframework.stereotype.Component;
import org.springframework.web.method.HandlerMethod;
import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;

@Component
public class AnonymousAccessFilter extends HandlerInterceptorAdapter {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 判断请求是否匹配@Anonymous注解
        if (handler instanceof HandlerMethod) {
            HandlerMethod method = (HandlerMethod) handler;
            Anonymous anonymous = AnnotationUtils.findAnnotation(method.getMethod(), Anonymous.class);
            if (anonymous != null) {
                // 对于匹配@Anonymous注解的请求，设置匿名身份
                Authentication anonymousAuth = new AnonymousAuthenticationFilter("anonymousUser",
                        SecurityContextHolder.getContext().getAuthentication().getAuthorities()).getAuthentication();
                SecurityContextHolder.getContext().setAuthentication(anonymousAuth);
                return true;
            }
        }
        return super.preHandle(request, response, handler);
    }
}

在上述代码中，preHandle()方法用于拦截请求，并判断请求是否匹配@Anonymous注解。如果匹配，则将当前用户的身份设置为匿名用户。这里通过创建一个AnonymousAuthenticationFilter对象，并将其设置为当前用户的身份，来实现匿名访问控制。

4. 在需要进行匿名访问的接口上，添加@Anonymous注解即可：

@RestController
public class DemoController {

    @GetMapping("/")
    public String index() {
        return "Hello World";
    }

    @GetMapping("/public")
    @Anonymous
    public String publicAPI() {
        return "This is a public API";
    }

    @GetMapping("/private")
    public String privateAPI() {
        return "This is a private API";
    }
}

在上述代码中，/public接口上添加了@Anonymous注解，表示该接口可以进行匿名访问。

这样，当请求/public接口时，AnonymousAccessFilter过滤器会拦截该请求，并将当前用户的身份设置为匿名用户，从而实现对该接口的匿名访问控制。

需要注意的是，@Anonymous注解仅对Spring MVC的控制器方法生效，对于其他类型的接口，例如Spring Boot的REST端点、WebSocket端点等，需要根据具体的场景进行相应的配置。

感觉很靠谱，感兴趣的小伙伴可以试一试~~