SpringSecurity放行接口之后，接口里拿不到用户信息

小半 • 2022年5月28日上午10:54 • 后端开发 • 阅读 73

前言

项目使用的是security安全框架，今天打开项目发现有个接口报npe很奇怪。于是看了下是SecurityContextHolder获取用户信息时候获取不到用户信息了。这个情况以前没有出现过，所以问了下我们项目组长，他说有没有可能是放行接口的原因。为此我专门研究了一下~

分析原因

我们的放行方式是：

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers("/css/**","/js/**","/index.html","/img/**","/fonts/**","/favicon.ico","/verifyCode");
}

其实我也一直没搞清楚，这种放行方式和permitAll放行有什么区别？

正常这样配置是没有问题的。
如果你很不巧，把登录请求地址放进来了，那就 gg 了。虽然登录请求可以被所有人访问，但是不能放在这里（而应该通过允许匿名访问的方式来给请求放行）。如果放在这里，登录请求将不走 SecurityContextPersistenceFilter 过滤器，也就意味着不会将登录用户信息存入 session，进而导致后续请求无法获取到登录用户信息。

解决方法

就是在上面以匿名访问的形式放行就解决了！代码我就不贴了，因为我手里没有代码，就是用annou。。。什么的去放行

@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin() // 表单方式
                .and()
                /**就在这写**/
                .authorizeRequests() // 授权配置
                .anyRequest()  // 所有请求
                .authenticated(); // 都需要认证
    }
}