Spring Security自定义Filter后设置permitAll()不生效

最新推荐文章于 2024-10-22 21:30:04 发布

河马先生戴红花

最新推荐文章于 2024-10-22 21:30:04 发布

阅读量2.5k

点赞数 3

文章标签： spring

本文链接：https://blog.csdn.net/mynameiswhite/article/details/132213519

版权

开发者在增加接口时遇到500错误，jwt校验失败。文章揭示了`permitAll`设置不起作用的原因，指出需明确`http.authorizeRequests`控制的是权限验证，而非过滤器顺序，并强调自定义过滤器应独立于Spring管理。

摘要由CSDN通过智能技术生成

问题描述：
在做一个需求时，增加了一个接口，但是访问时始终报错500，显示jwt校验不通过，debug定位问题是在通过一个自定义的过滤器时校验失败，该过滤器继承了UsernamePasswordAuthenticationFilter，由于该接口Authentication校验，因此想要设置自定义过滤器不对该path过滤，但是设置http.authorizeRequests().antMatchers().permitAll后一直不生效，过滤器链中始终有自定义过滤器，请求仍会走自定义过滤器，由于对SpringSecurity不熟悉因此花费了很多时间也没找到问题，直到看到一个解答才明白，在此记录一下：参考链接，stackFlow

总结：

1.之所以设置http.authorizeRequests().antMatchers().permitAll后，请求仍会走自定义过滤器，是因为这设置的是请求不走框架的权限校验，如token啥的，而不是不走过滤器链

2.addFilterBefore(new MyFilter(), UsernamePasswordAuthenticationFilter.class)将自定义过滤器加入过滤器链中，这里应该注意MyFilter类不应该交给Spring管理，而是通过new出来交给Spring Security管理