Spring REST API中ForgotPassword接口绕过认证失败求助

嘿，我来帮你搞定这个ForgotPassword接口绕不开认证的难题！先理清楚你的场景：你有个叫「abc」的模块，用LDAP做用户认证，全局配置了拦截所有需要角色的URL，但ForgotPassword是登录前的无权限接口，只需要收集邮箱发重置链接，试了permitAll和security="none"都踩坑了，咱们一步步排查解决。

先分析两种尝试失败的可能原因 #

1. permitAll失效的原因 #

你说permitAll仍要求存在认证对象，大概率是配置顺序出问题了：Spring Security的拦截规则是按配置顺序匹配的，如果你先写了拦截所有URL需要角色的规则，再写permitAll，那前面的全局规则会优先匹配，覆盖掉后面的放行规则。另外，你的preAuthenticatedLdapAuthenticationProvider如果是前置认证提供者，可能过滤器链里有强制校验认证信息的逻辑，导致未认证请求还是被拦截。

2. security="none"失效的原因 #

这种情况常见的问题有两个：

• 配置顺序不对：security="none"的<http>必须放在所有其他<http>配置的最前面，否则后面的全局<http>会覆盖它的规则；
• URL路径不匹配：比如你的模块部署在上下文路径下（比如/abc），但你写的pattern是/forgotPassword，实际请求路径是/abc/forgotPassword，导致规则没命中；或者大小写不匹配（Spring Security路径匹配默认区分大小写）。

可行的解决方案 #

方案一：正确使用security="none" #

把放行规则放在所有安全配置的最前面，确保优先匹配：

<!-- 先放完全跳过安全校验的路径，必须在其他<http>之前 -->
<http pattern="/forgotPassword" security="none" />

<!-- 你的全局安全配置 -->
<http auto-config="true" authentication-manager-ref="authenticationManager">
    <!-- 全局拦截所有需要角色的URL -->
    <intercept-url pattern="/**" access="hasAnyRole('ROLE_USER', 'ROLE_ADMIN')" />
    <!-- 其他配置（比如form-login、logout等） -->
</http>

<!-- 你的LDAP和认证管理器配置 -->
<authentication-manager alias="authenticationManager" erase-credentials="false">
    <authentication-provider ref="preAuthenticatedLdapAuthenticationProvider" />
    <ldap-server id="ldapServerIDGreenBus" url="${ldap.URL}/${ldap.Base}" manager-dn="${ldap.Username}" manager-password="${ldap.Password}" />
</authentication-manager>

如果是带上下文路径的部署，把pattern改成/abc/forgotPassword，或者用通配符匹配所有路径下的该接口：/**/forgotPassword。

方案二：调整permitAll的配置顺序 #

如果你更倾向用permitAll，一定要把放行规则放在全局拦截规则的前面：

<http auto-config="true" authentication-manager-ref="authenticationManager">
    <!-- 先放行ForgotPassword接口 -->
    <intercept-url pattern="/forgotPassword" access="permitAll" />
    <!-- 再配置全局拦截规则 -->
    <intercept-url pattern="/**" access="hasAnyRole('ROLE_USER', 'ROLE_ADMIN')" />
</http>

同时检查你的preAuthenticatedLdapAuthenticationProvider，如果它强制要求认证对象存在，可能需要给这个提供者配置路径排除，让它不拦截/forgotPassword的请求。

额外排查点 #

• 检查自定义过滤器/拦截器：如果你的应用里有自定义的安全拦截器，可能会绕过Spring Security的规则，强制校验认证信息，这时候需要给这些拦截器也配置路径排除；
• CSRF校验：如果ForgotPassword是POST请求，Spring Security默认启用CSRF保护，即使security="none"生效，也可能因为没带CSRF Token报错。可以针对该路径关闭CSRF（不推荐生产环境全局关闭）：

<http pattern="/forgotPassword" security="none" />
<http auto-config="true" authentication-manager-ref="authenticationManager">
    <csrf>
        <ignored-request-matcher ref="forgotPasswordMatcher" />
    </csrf>
    <!-- 其他规则 -->
</http>

<bean id="forgotPasswordMatcher" class="org.springframework.security.web.util.matcher.AntPathRequestMatcher">
    <constructor-arg value="/forgotPassword" />
</bean>

内容的提问来源于stack exchange，提问作者Kramer