从网络安全中排除一个网址

Question

我的春季网络安全防护中有以下内容

        http
        .headers()
    .and()
        .sessionManagement()
    .and()
        .authorizeRequests()
        .antMatchers("/api/info").permitAll()
        .antMatchers("/api/**").authenticated();

除了我有一个我想允许allowAll的网址，例如/ api / state / ???

我尝试了一些不起作用（验证失败）的事情，例如

            .antMatchers("/api/**").authenticated();
            .antMatchers("/api/state/**").permitAll();

我正在寻找一种将排除项添加到以下内容的方法

.antMatchers("/api/**").authenticated();

我想避免在api下列出所有网址并将其设置为已验证

Answer 1

问题似乎在于规则的顺序。您应该首先声明permitAll规则：

    .antMatchers("/api/state/**").permitAll()
    .antMatchers("/api/**").authenticated();