问Spring安全忽略url不适用于we安全忽略方法。

EN

更新:请参阅@dur中的评论，它可能会解决问题，而不会有重大变化。

To make it clear, your first security configuration is correct. Your problem 
is that your filter is used as a servlet filter not only as a security chain 
filter. Spring Boot does this autmatically, if you expose your filter.

https://stackoverflow.com/a/39314867/14072498

OP提到的是执行器的端点。让我们看看doc：https://spring.io/guides/topicals/spring-security-architecture

医生说：

If you want your application security rules to apply to the actuator 
endpoints, you can add a filter chain that is ordered earlier than the 
actuator one and that has a request matcher that includes all actuator 
endpoints.

Doc建议将配置划分为多个WebSecurityConfigurerAdapter实现。

在下面的示例配置中，您应该将您所指的自定义筛选器应用于MainAppConfigurerAdapter。

“多弹簧启动安全配置”示例：https://medium.com/@igor.bonny/multiple-spring-boot-security-configuration-c876f1b6061e

为了跳过其他端点的身份验证，请添加

.and()
.authorizeRequests().anyRequest().permitAll();

以结束应用程序链，如下所示。

若要验证安全设置，请为所有端点添加集成测试。

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration {

  @Configuration
  @Order(ManagementServerProperties.BASIC_AUTH_ORDER - 1)
  public class ActuatorConfigurerAdapter extends WebSecurityConfigurerAdapter {
    @Override
      protected void configure(HttpSecurity http) {
          http.antMatcher("/actuator/**")
          ...
      }
  }

  @Configuration
  @Order(SecurityProperties.DEFAULT_FILTER_ORDER)
  public class MainAppConfigurerAdapter extends WebSecurityConfigurerAdapter {
      @Override
      protected void configure(HttpSecurity http) {
          http.antMatcher("/api/**")
          ...
      }
  }
}

遵循https://docs.spring.io/spring-boot/docs/current/reference/html/production-ready-features.html#production-ready-endpoints-security，您应该：

• 添加到属性文件中

management.endpoints.web.exposure.include=*

• 更新您的安全配置如下

@Configuration(proxyBeanMethods = false)公共类ActuatorSecurity扩展WebSecurityConfigurerAdapter {@覆盖受保护的无效配置(HttpSecurity http)抛出异常{HttpSecurity -> requests.anyRequest().permitAll()；}

一种方法是在安全配置和自定义筛选器中使用模式，从身份验证中提取主体。你可以这样做：

1. 声明忽略模式：

静态String[] IGNORE_PATTERNS =新的String[] {“**/*..js”，“**/*..css”，String[]

1. 声明允许所有模式：

静态String[] PERMIT_ALL_PATTERNS =新String[] { "/login“、"/logout”、"/health"};

1. 在WebSecurity中使用被忽略的模式：

web.ignoring().antMatchers(IGNORE_PATTERNS);

1. 使用许可证-HttpSecurity中的所有模式：

http.authorizeRequests().antMatchers(PERMIT_ALL_PATTERNS).permitAll().anyRequest().authenticated().and() .

1. 在过滤器中声明RequestMatcher：

列表匹配器=新的ArrayList<>()；for (字符串模式: IGNORE_PATTERNS) {matchers.add(新的AntPathRequestMatcher(模式))；} for (字符串模式: PERMIT_ALL_PATTERNS) {matchers.add(新的模式)；} RequestMatcher ignoreRequestMatcher =新的OrRequestMatcher(匹配器)；

1. 在过滤器的doFilter方法中使用请求匹配器：

如果(ignoreRequestMatcher.matches((HttpServletRequest)请求){ /*跳过此过滤器*/ chain.doFilter(请求，响应)；返回；}在*/下面的过滤器代码的/*其余部分