如何在Spring Security中获得permitAll而不在@Controller对象中抛出AuthenticationCredentialsNotFoundException？

Question

我有一个具有许多操作的控制器，它指定了默认的类级 @PreAuthorize 注释，但我想让任何人都可以进入其中一个操作（“显示”操作）。

@RequestMapping("/show/{pressReleaseId}")
@PreAuthorize("permitAll")
public ModelAndView show(@PathVariable long pressReleaseId) {
    ModelAndView modelAndView = new ModelAndView(view("show"));

    modelAndView.addObject("pressRelease",
        sysAdminService.findPressRelease(pressReleaseId));

    return modelAndView;
}

不幸的是，Spring Security 抛出了这个异常：

org.springframework.security.authentication.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext
    at org.springframework.security.access.intercept.AbstractSecurityInterceptor.credentialsNotFound(AbstractSecurityInterceptor.java:321)
    at org.springframework.security.access.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:195)
    at org.springframework.security.access.intercept.aopalliance.MethodSecurityInterceptor.invoke(MethodSecurityInterceptor.java:64)

How can I get Spring Security to NOT throw this exception?我只想让任何人 - 未经身份验证的用户和经过身份验证的用户 - 每个人。

我唯一的解决方案是将此方法完全放入另一个控制器中，而根本没有@PreAuthorize...这会起作用，但这是愚蠢的。我想将所有新闻稿操作保留在同一个控制器中。

感谢您的帮助！

Answer 1

我猜您没有启用匿名身份验证过滤器。

如果您使用命名空间配置和 auto-config = "true"，则默认情况下应启用它。如果您不使用自动配置，则可以启用匿名过滤器：。

Answer 2

允许任何人访问控制器方法的正常方法是不使用任何 Spring Security 注释对其进行注释；即没有 @PreAuthorize 没有 @Secured 等。

您应该能够简单地从 show() 中删除 @PreAuthorize > 方法，任何在该控制器中的其他方法上留下注释。无论您如何使用 show() 方法，其他方法都将保持安全。

Answer 3

默认值随着 Spring Security 插件的较新版本（版本 2）而更改。这意味着默认情况下所有控制器都是安全的（您需要登录才能查看它们）。删除 @Secured 根本不起作用，它仍然会保持安全状态。您可以更改此默认行为，但对我来说，新的默认行为很有意义，因为它更安全。安全非常重要。

我只

@Secured(['permitAll'])

用于我的控制器，但它也应该适用于方法。