Spring Security对公开端点是否执行授权？能否识别访问用户身份？

1. Spring Security对公开端点是否会执行授权逻辑？ #

当你把端点配置为允许匿名访问（比如使用permitAll()）时，Spring Security不会强制要求用户必须通过授权，但依然会执行完整的认证流程：

• 如果请求携带了有效的认证凭证（比如Session、JWT令牌），Security会自动完成用户认证，将用户信息存入SecurityContext；
• 如果请求没有携带凭证，Security不会拦截请求，而是会将当前用户标记为匿名用户（对应AnonymousAuthenticationToken）。

简单说：公开端点不会拦截未授权请求，但会自动识别已登录用户的身份。

2. 如何识别访问端点的用户是已授权还是未授权状态？ #

完全可以，常用的几种实现方式：

方式一：控制器方法注入Authentication对象 #

直接在方法参数中获取认证信息，通过判断认证对象的类型和状态区分用户：

@GetMapping("/public-endpoint")
public String handlePublicRequest(Authentication authentication) {
    // 判断是否为已认证的非匿名用户
    boolean isAuthenticated = authentication != null 
        && authentication.isAuthenticated() 
        && !(authentication instanceof AnonymousAuthenticationToken);
    
    if (isAuthenticated) {
        String username = authentication.getName();
        return String.format("已认证用户访问：%s", username);
    } else {
        return "匿名用户访问";
    }
}

方式二：通过SecurityContextHolder获取认证信息 #

在代码任意位置获取当前上下文的认证对象，逻辑和上面一致：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
// 后续判断逻辑同方式一

方式三：使用@AuthenticationPrincipal注解 #

如果你的用户有自定义的UserDetails实现，可以直接注入用户详情，匿名用户情况下该值为null（或匿名用户对象）：

@GetMapping("/public-endpoint")
public String handlePublicRequest(@AuthenticationPrincipal UserDetails userDetails) {
    if (userDetails != null && !(userDetails instanceof AnonymousUser)) {
        return String.format("已认证用户访问：%s", userDetails.getUsername());
    } else {
        return "匿名用户访问";
    }
}

关键配置示例 #

要让端点开放给未授权用户，需要在Security配置类中明确设置permitAll()：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public-endpoint").permitAll() // 开放目标端点
                .anyRequest().authenticated() // 其他端点保持认证要求
            )
            // 根据你的认证方式配置，比如表单登录、JWT等
            .formLogin(form -> form.permitAll());
        
        return http.build();
    }
}

内容的提问来源于stack exchange，提问作者user471011