DEV Community
·
Spring Security 让你的应用崩溃的隐性规则
💡
原文英文，约300词，阅读约需1分钟。
📝
内容提要
Spring Security 的默认设置可能令人困惑，常见问题包括：所有请求返回401，需要逐步放宽安全设置；POST 请求因默认启用 CSRF 保护而失败，需要禁用；即使使用 @CrossOrigin，前端也可能被阻止，需要在 SecurityFilterChain 中配置 CORS。理解这些默认设置的限制至关重要。
🎯
关键要点
-
Spring Security 的默认行为可能令人困惑，许多初学者会遇到问题。
-
添加 spring-boot-starter-security 后，所有请求都会被阻止，因为默认情况下会保护所有端点。
-
解决方法是逐步放宽安全设置，使用 permitAll() 允许所有请求。
-
POST 请求失败的原因是默认启用了 CSRF 保护，这对传统应用有利，但对 API 不利。
-
解决方法是禁用 CSRF 保护，适用于无状态 API。
-
使用 @CrossOrigin 可能无法解决前端被阻止的问题，因为 Spring Security 会覆盖 CORS 设置。
-
解决方法是在 SecurityFilterChain 中配置 CORS 设置。
-
Spring Security 的默认设置虽然安全，但也很限制，理解其原因是关键。
❓
延伸问答
为什么添加 Spring Security 后所有请求都会被阻止？
因为 Spring Security 默认会保护所有端点，导致所有请求返回401错误。
如何解决 POST 请求因 CSRF 保护而失败的问题？
可以通过禁用 CSRF 保护来解决，适用于无状态 API。
使用 @CrossOrigin 仍然被阻止的原因是什么？
因为 Spring Security 会覆盖 CORS 设置，导致前端请求被阻止。
如何在 SecurityFilterChain 中配置 CORS 设置？
可以通过设置 CorsConfiguration 来配置允许的来源和方法。
Spring Security 的默认设置有什么优缺点？
默认设置虽然安全，但也很限制，理解其原因是关键。
如何逐步放宽 Spring Security 的安全设置？
可以使用 permitAll() 方法逐步放宽安全设置，允许所有请求。
➡️
