快捷導(dǎo)航

SpringSecurity自定義注解放行以及在微服務(wù)架構(gòu)中使用詳解

更新時(shí)間：2026年03月13日 16:29:28 作者：胡思亂想罷了~

文章介紹了SpringSecurity的認(rèn)證流程,包括過(guò)濾器鏈的使用、AuthenticationFilter的作用、認(rèn)證管理器的認(rèn)證過(guò)程,以及如何通過(guò)自定義注解實(shí)現(xiàn)接口匿名訪問(wèn)

SpringSecurity的認(rèn)證流程：（個(gè)人理解）

Spring Security通過(guò)一系列的過(guò)濾器組成的過(guò)濾鏈來(lái)處理安全相關(guān)的任務(wù)。在Web應(yīng)用中，過(guò)濾器鏈主要用于實(shí)現(xiàn)身份驗(yàn)證、授權(quán)、記住我（Remember Me）等安全功能。

請(qǐng)求先到AuthenticationFilter，首先先驗(yàn)證使用的什么協(xié)議（只允許post請(qǐng)求），再獲取賬號(hào)密碼，將賬號(hào)密碼封裝成authentication，通常是封裝成UsernamePasswordAuthenticationToken。注意此處有多種過(guò)濾器，BasicAuthenticationFilter，UsernamePasswordAuthenticationFilter，RememberMeAuthenticationFilter，SocialAuthenticationFilter，Oauth2AuthenticationProcessingFilter和Oauth2ClientAuthenticationProcessingFilter只有其中一個(gè)認(rèn)證通過(guò)就會(huì)封裝authentication對(duì)象并返回。

然后調(diào)用authenticationManager中的authentication方法進(jìn)行認(rèn)證，認(rèn)證成功返回authentication，認(rèn)證失敗AuthenticationManager會(huì)根據(jù)不同的認(rèn)證方式選擇對(duì)應(yīng)的Provider進(jìn)行認(rèn)證。

providerManage實(shí)現(xiàn)了AuthenticationManage的多種方法，通過(guò)調(diào)用其中的DaoAuthenticationprovider方法根據(jù)用戶名加載用戶信息，通過(guò)userDetail進(jìn)行接收后封裝為authentication對(duì)象并依次返回，返回到AuthenticationFilter時(shí)，通過(guò)AuthenticationManage進(jìn)行認(rèn)證，最后將主題信息返回到security的上下文中（就是保存Authentication對(duì)象），下次請(qǐng)求來(lái)的時(shí)候在securityContextPersistenceFilter中將Authentication拿出來(lái)，后續(xù)認(rèn)證就不需要了。

下面說(shuō)一下SpringSecurity自定義注解放行接口

應(yīng)用場(chǎng)景：實(shí)際項(xiàng)目開(kāi)發(fā)中，會(huì)遇到需要放行一些接口，使其能匿名訪問(wèn)的業(yè)務(wù)需求。但是每當(dāng)需要當(dāng)需要放行時(shí)，都需要在security的配置類中進(jìn)行修改，例如

//                .antMatchers("captcha/check").anonymous()

感覺(jué)非常的不優(yōu)雅。所以想通過(guò)自定義一個(gè)注解，來(lái)進(jìn)行接口匿名訪問(wèn)。

首先創(chuàng)建一個(gè)自定義注解：

@Target(ElementType.METHOD) //注解放置的目標(biāo)位置,METHOD是可注解在方法級(jí)別上
@Retention(RetentionPolicy.RUNTIME) //注解在哪個(gè)階段執(zhí)行
@Documented //生成文檔
public @interface IgnoreAuth {
}

然后編寫securityConfig類繼承WebSecurityConfigurerAdapter：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return  new BCryptPasswordEncoder();
    }

    @Autowired
    private JwtAuthenticationTokenFilter filter;

    @Resource
    private AuthenticationEntryPoint authenticationEntryPoint;

    @Autowired
    private RequestMappingHandlerMapping requestMappingHandlerMapping;


    @Resource
    private AccessDeniedHandler accessDeniedHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {



        http
                //關(guān)閉csrf
                .csrf().disable()
                //不通過(guò)Session獲取SecurityContext
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .authorizeRequests()

                // 對(duì)于登錄接口 允許匿名訪問(wèn) 未登錄狀態(tài)也可以訪問(wèn)

                .antMatchers("/token/refreshToken").anonymous()
//                 需要用戶帶有管理員權(quán)限
                .antMatchers("/find").hasRole("管理員")
                // 需要用戶具備這個(gè)接口的權(quán)限
                .antMatchers("/find").hasAuthority("menu:user")

                // 除上面外的所有請(qǐng)求全部需要鑒權(quán)認(rèn)證
                .anyRequest().authenticated();
        //添加過(guò)濾器
        http.addFilterBefore(filter, UsernamePasswordAuthenticationFilter.class);

        //配置異常處理器
        http.exceptionHandling()
                //配置認(rèn)證失敗處理器
                .authenticationEntryPoint(authenticationEntryPoint)
                .accessDeniedHandler(accessDeniedHandler);

        //允許跨域
        http.cors();
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }


    /**
     * @ description: 使用這種方式放行的接口，不走 Spring Security 過(guò)濾器鏈，
     *                無(wú)法通過(guò) SecurityContextHolder 獲取到登錄用戶信息的，
     *                因?yàn)樗婚_(kāi)始沒(méi)經(jīng)過(guò) SecurityContextPersistenceFilter 過(guò)濾器鏈。
     * @ dateTime: 2021/7/19 10:22
     */
    

}

自定義注解實(shí)現(xiàn)

說(shuō)明：下面兩種放行方式不能在有@ResquestMapper注解的接口上面使用，只能在@GetMapper,@PostMapper的接口中使用，因?yàn)槲沂峭ㄟ^(guò)請(qǐng)求方式進(jìn)行放行的。

SpringSecurity提供了兩種放行方式

1.使用這種方式放行的接口，不走 Spring Security 過(guò)濾器鏈，

public void configure(WebSecurity web)

2.使用這種方式放行的接口，走 Spring Security 過(guò)濾器鏈，

protected void configure(HttpSecurity http)

使用走 Spring Security 過(guò)濾器鏈的放行方式

RequestMappingHandlerMapping組件可以獲取系統(tǒng)中的所有接口，如圖

我們可以對(duì)此進(jìn)行遍歷，獲取攜帶了@IgnoreAuth的接口，再通過(guò)接口的請(qǐng)求方式進(jìn)行放行

Map<RequestMappingInfo, HandlerMethod> handlerMethods = requestMappingHandlerMapping.getHandlerMethods();
System.out.println("handlerMethods:" + handlerMethods);
handlerMethods.forEach((info, method) -> {
    if (info.getMethodsCondition().getMethods().size() != 0) {

        // 帶IgnoreAuth注解的方法直接放行
        if (!Objects.isNull(method.getMethodAnnotation(IgnoreAuth.class))) {
            // 根據(jù)請(qǐng)求類型做不同的處理
            info.getMethodsCondition().getMethods().forEach(requestMethod -> {
                switch (requestMethod) {
                    case GET:
                        // getPatternsCondition得到請(qǐng)求url數(shù)組，遍歷處理
                        info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                            // 放行
                            try {
                                http.authorizeRequests()
                                        .antMatchers(HttpMethod.GET, pattern.getPatternString())
                                        .anonymous();
                            } catch (Exception e) {
                                throw new RuntimeException(e);
                            }
                        });
                        break;
                    case POST:
                        info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                            try {
                                http.authorizeRequests()
                                        .antMatchers(HttpMethod.POST, pattern.getPatternString())
                                        .anonymous();
                            } catch (Exception e) {
                                throw new RuntimeException(e);
                            }
                        });
                        break;
                    case DELETE:
                        info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                            try {
                                http.authorizeRequests()
                                        .antMatchers(HttpMethod.DELETE, pattern.getPatternString())
                                        .anonymous();
                            } catch (Exception e) {
                                throw new RuntimeException(e);
                            }
                        });
                        break;
                    case PUT:
                        info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                            try {
                                http.authorizeRequests()
                                        .antMatchers(HttpMethod.PUT, pattern.getPatternString())
                                        .anonymous();
                            } catch (Exception e) {
                                throw new RuntimeException(e);
                            }
                        });
                        break;
                    default:
                        break;
                }
            });
        }
    }
});

需要注意的是，此處可能由于版本的不同，獲取請(qǐng)求名稱的方式有所不同。

這里通過(guò)pathPatternsCondition進(jìn)行獲取，某些版本需要在patternsCondition中進(jìn)行獲取，具體看個(gè)人的版本情況。

使用不走 Spring Security 過(guò)濾器鏈的放行方式

代碼大體相同，都是首先獲取所有接口，再進(jìn)行遍歷放行

        WebSecurity and = web.ignoring().and();
        Map<RequestMappingInfo, HandlerMethod> handlerMethods = requestMappingHandlerMapping.getHandlerMethods();
//        System.out.println("handlerMethods:" + handlerMethods);

        handlerMethods.forEach((info, method) -> {
            if (info.getMethodsCondition().getMethods().size() != 0) {

                // 帶IgnoreAuth注解的方法直接放行
                if (!Objects.isNull(method.getMethodAnnotation(IgnoreAuth.class))) {
                    // 根據(jù)請(qǐng)求類型做不同的處理
                    info.getMethodsCondition().getMethods().forEach(requestMethod -> {
                        switch (requestMethod) {
                            case GET:
                                // getPatternsCondition得到請(qǐng)求url數(shù)組，遍歷處理
                                info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                                    // 放行
                                    and.ignoring().antMatchers(HttpMethod.GET, pattern.getPatternString());

                                });
                                break;
                            case POST:
                                info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                                    and.ignoring().antMatchers(HttpMethod.POST,  pattern.getPatternString());
                                });
                                break;
                            case DELETE:
                                info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                                    and.ignoring().antMatchers(HttpMethod.DELETE,  pattern.getPatternString());
                                });
                                break;
                            case PUT:
                                info.getPathPatternsCondition().getPatterns().forEach(pattern -> {
                                    and.ignoring().antMatchers(HttpMethod.PUT,  pattern.getPatternString());
                                });
                                break;
                            default:
                                break;
                        }
                    });
                }
            }
        });

    }