Spring Security自定义URL排除及API v2认证失败过滤器配置问题

嘿，我来帮你搞定这两个Spring Security的配置难题，咱们逐个拆解：

这里有两种实用的方案，你可以根据自己的场景选：

• 方案一：利用规则优先级前置排除
  Spring Security的认证规则是从上到下匹配、匹配即停止的，所以你只需要把要排除的URL放在所有规则最前面，给它设置对应的权限（比如允许所有人访问），就能跳过后面的认证逻辑。示例代码：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable()
        .authorizeRequests()
            // 先配置要排除的自定义URL，允许所有访问（可根据需求调整权限）
            .antMatchers("/my-custom-url/**").permitAll()
            // 再配置其他所有路径的认证规则
            .anyRequest().authenticated();
}

• 方案二：用negate()精准排除路径
  如果是要给某个过滤器指定“除了某路径之外的所有路径”，可以结合antMatchers和not()（也就是negate()）来实现：

http.addFilterBefore(customFilter, UsernamePasswordAuthenticationFilter.class)
    .requestMatchers()
        .antMatchers("/**")
        .not()
        .antMatchers("/my-custom-url/**");

核心思路是把不同版本的API路径拆分配置，让v2路径单独使用自定义认证失败过滤器，其他路径沿用原有配置。推荐两种方案：

方案一：拆分多个HttpSecurity配置（最清晰） #

创建两个配置类，用@Order指定优先级，让v2的配置先匹配：

// 专门处理v2 API的配置，优先级更高
@Configuration
@Order(1)
public class ApiV2SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomAuthFailureFilter v2AuthFailureFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            // 只匹配v2的API路径
            .requestMatchers()
                .antMatchers("/api/v2/**")
                .and()
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            // 给v2路径配置自定义认证失败过滤器
            .exceptionHandling()
                .authenticationEntryPoint(v2AuthFailureFilter);
    }
}

// 处理其他所有路径的默认配置，优先级较低
@Configuration
@Order(2)
public class DefaultSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DefaultAuthFailureFilter defaultAuthFailureFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            // 沿用原有认证失败过滤器
            .exceptionHandling()
                .authenticationEntryPoint(defaultAuthFailureFilter);
            // 原有其他配置继续保留
    }
}

方案二：同一配置中区分路径设置处理器 #

如果不想拆分配置类，可以在同一个configure方法里，针对v2路径单独指定认证失败处理器：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .csrf().disable()
        .authorizeRequests()
            .antMatchers("/api/v2/**").authenticated()
            .anyRequest().authenticated()
            .and()
        .exceptionHandling()
            // 给v2路径绑定自定义认证失败处理器
            .defaultAuthenticationEntryPointFor(v2AuthFailureFilter, 
                new AntPathRequestMatcher("/api/v2/**"))
            // 其他路径使用原有处理器
            .authenticationEntryPoint(defaultAuthFailureFilter);
}

这样就能完美解决URL模式冲突，让v2 API返回新格式的错误响应，同时不影响原有API的配置。

内容的提问来源于stack exchange，提问作者vigamage