网站调用Spring Boot安全服务：免认证请求及JWT使用可行性咨询

1. 无需身份验证调用受保护接口的可能性 #

受保护的Spring Boot Web服务本身就是通过Spring Security等组件配置了访问控制规则的，默认情况下无法直接跳过认证发起GET/POST请求。
如果确实需要让特定接口允许匿名访问，你需要在Spring Security的配置类中，对目标接口设置permitAll()规则，比如：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/public/**").permitAll() // 开放指定匿名接口
            .anyRequest().authenticated();
    }
}

只有配置了这类规则的接口，才能无需认证直接调用。

2. 使用JWT令牌发起请求的可行性 #

完全可以使用JWT令牌来发起请求，这是Spring Boot服务中非常常见的认证方式。具体做法如下：

• 获取有效的JWT令牌：通常需要先通过登录接口（比如/api/login）提交用户名密码，服务端验证后返回JWT令牌。
• 在后续的GET/POST请求中，将JWT令牌放在Authorization请求头中，格式为Bearer <JWT_TOKEN>。

请求示例 #

curl命令：

# GET请求示例
curl -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." https://your-spring-boot-service/api/data

# POST请求示例
curl -X POST -H "Content-Type: application/json" -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." -d '{"key":"value"}' https://your-spring-boot-service/api/data

JavaScript前端请求示例：

// GET请求
fetch('https://your-spring-boot-service/api/data', {
  method: 'GET',
  headers: {
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  }
})
.then(response => response.json())
.then(data => console.log(data));

// POST请求
fetch('https://your-spring-boot-service/api/data', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  },
  body: JSON.stringify({key: 'value'})
})
.then(response => response.json())
.then(data => console.log(data));

同时，你的Spring Boot服务需要配置JWT认证过滤器，负责解析请求头中的令牌、验证签名和有效期，确保请求的合法性。

内容的提问来源于stack exchange，提问作者alia