如何根据客户端访问URL配置Spring Security认证规则

你之前的配置不生效的核心原因是antMatchers()默认仅匹配HTTP请求的路径部分，不会校验请求的来源域名/客户端地址，所以包含完整域名的匹配规则不会被触发。

你可以通过自定义RequestMatcher组合路径和来源条件，直接在Spring Security的授权规则中完成配置，无需额外改造现有JWT认证逻辑，示例如下：

1. 基于Host头匹配（适配你提出的clientA:8080、clientB:8081场景） #

import org.springframework.security.web.util.matcher.RequestMatcher;
import javax.servlet.http.HttpServletRequest;

// 自定义匹配器：同时匹配/health路径 + clientA来源
RequestMatcher clientAHealthMatcher = new RequestMatcher() {
    @Override
    public boolean matches(HttpServletRequest request) {
        return "/health".equals(request.getRequestURI())
                && "clientA:8080".equals(request.getHeader("Host"));
    }
};

// 自定义匹配器：同时匹配/health路径 + clientB来源
RequestMatcher clientBHealthMatcher = new RequestMatcher() {
    @Override
    public boolean matches(HttpServletRequest request) {
        return "/health".equals(request.getRequestURI())
                && "clientB:8081".equals(request.getHeader("Host"));
    }
};

// Spring Security 5.x 配置示例
http.authorizeRequests()
        .requestMatchers(clientAHealthMatcher).permitAll()
        .requestMatchers(clientBHealthMatcher).authenticated()
        // 原有其他授权规则保持不变
        .anyRequest().authenticated()
        // 原有JWT过滤器、csrf配置等保持不变
        .and()
        .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);

2. 基于客户端IP匹配（如果需要校验client的出口IP而非访问域名） #

如果需求是根据客户端的真实IP区分，可使用Spring Security自带的IpAddressMatcher实现：

import org.springframework.security.web.util.matcher.IpAddressMatcher;

RequestMatcher clientAHealthMatcher = new RequestMatcher() {
    // 替换为clientA的实际IP
    private final IpAddressMatcher ipMatcher = new IpAddressMatcher("192.168.1.20");
    @Override
    public boolean matches(HttpServletRequest request) {
        return "/health".equals(request.getRequestURI())
                && ipMatcher.matches(request);
    }
};

如果你的服务前部署了Nginx等反向代理，需要先配置Spring Boot正确获取原始请求的Host头/客户端IP，否则匹配规则会失效，在application.yml中添加如下配置即可：

server:
  forward-headers-strategy: native

如果使用Spring Security 6.x版本，仅需将配置中的authorizeRequests()替换为authorizeHttpRequests()，其余逻辑完全兼容。

内容的提问来源于stack exchange，提问作者Kelvyn Cavalcante