此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Security 6.3.3！spring-doc.cn

此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Security 6.3.3！spring-doc.cn

概述

通常认为采用 “deny-by-default” 立场是一种良好的安全实践，其中您明确指定允许的内容并禁止其他所有内容。 定义未经身份验证的用户可以访问的内容也是一种类似的情况，尤其是对于 Web 应用程序。 许多网站要求用户必须对除少数 URL 以外的任何内容（例如主页和登录页面）进行身份验证。 在这种情况下，最简单的方法是为这些特定 URL 定义访问配置属性，而不是为每个受保护的资源定义访问配置属性。 换句话说，有时最好说是默认必需的，并且只允许此规则的某些例外，例如应用程序的登录、注销和主页。 您也可以从过滤器链中完全省略这些页面，从而绕过访问控制检查，但这可能是由于其他原因而不希望的，特别是当这些页面对经过身份验证的用户的行为不同时。ROLE_SOMETHINGspring-doc.cn

这就是我们所说的匿名身份验证。 请注意，“匿名身份验证”的用户和未经身份验证的用户之间在概念上没有真正的区别。 Spring Security 的匿名身份验证只是为您提供了一种更方便的方式来配置访问控制属性。 对 servlet API 调用的调用（如 、）仍返回 null，即使 中实际上存在匿名身份验证对象。getCallerPrincipalSecurityContextHolderspring-doc.cn

在其他情况下，匿名身份验证也很有用，例如，当审计侦听器查询以确定哪个委托人负责给定操作时。 如果类知道 always contains an object 并且 never contains ，则可以更健壮地编写类。SecurityContextHolderSecurityContextHolderAuthenticationnullspring-doc.cn

配置

当您使用 HTTP 配置（在 Spring Security 3.0 中引入）时，会自动提供匿名身份验证支持。 您可以使用元素自定义 （或禁用） 它。 除非您使用传统的 bean 配置，否则无需配置此处描述的 bean。<anonymous>spring-doc.cn

三个类协同工作以提供匿名身份验证功能。 是 and store 应用于匿名主体的实例的实现。 有一个相应的 ，它被链接到 中，以便接受实例。 最后，an 在正常的身份验证机制之后被链接起来，并自动将 an 添加到 if there 中没有现有的 hold。 筛选条件和身份验证提供程序定义如下：AnonymousAuthenticationTokenAuthenticationGrantedAuthorityAnonymousAuthenticationProviderProviderManagerAnonymousAuthenticationTokenAnonymousAuthenticationFilterAnonymousAuthenticationTokenSecurityContextHolderAuthenticationspring-doc.cn

<bean id="anonymousAuthFilter"
	class="org.springframework.security.web.authentication.AnonymousAuthenticationFilter">
<property name="key" value="foobar"/>
<property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS"/>
</bean>

<bean id="anonymousAuthenticationProvider"
	class="org.springframework.security.authentication.AnonymousAuthenticationProvider">
<property name="key" value="foobar"/>
</bean>

在过滤器和身份验证提供商之间共享，因此后者接受前者创建的令牌keyspring-doc.cn

使用该物业不应被视为在此处提供任何真正的安全保障。 这只是一个记账练习。 如果您共享的 a 包含身份验证客户端可以构建对象 （例如使用 RMI 调用） ，则恶意客户端可以提交它自己创建的 （使用所选的用户名和权限列表）。 如果 是可猜测的或可以找到的，则匿名提供商将接受该令牌。 这在正常使用中不是问题。但是，如果您使用 RMI，则应使用省略匿名提供程序的自定义提供程序，而不是共享用于 HTTP 身份验证机制的提供程序。keyProviderManagerAnonymousAuthenticationProviderAuthenticationAnonymousAuthenticationTokenkeyProviderManagerspring-doc.cn

以 的形式表示。 对于属性 的等号后，使用相同的语法。userAttributeusernameInTheAuthenticationToken,grantedAuthority[,grantedAuthority]userMapInMemoryDaoImplspring-doc.cn

如前所述，匿名身份验证的好处是所有 URI 模式都可以应用安全性，如下例所示：spring-doc.cn

<bean id="filterSecurityInterceptor"
	class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor">
<property name="authenticationManager" ref="authenticationManager"/>
<property name="accessDecisionManager" ref="httpRequestAccessDecisionManager"/>
<property name="securityMetadata">
	<security:filter-security-metadata-source>
	<security:intercept-url pattern='/index.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
	<security:intercept-url pattern='/hello.htm' access='ROLE_ANONYMOUS,ROLE_USER'/>
	<security:intercept-url pattern='/logoff.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
	<security:intercept-url pattern='/login.jsp' access='ROLE_ANONYMOUS,ROLE_USER'/>
	<security:intercept-url pattern='/**' access='ROLE_USER'/>
	</security:filter-security-metadata-source>" +
</property>
</bean>

使用该物业不应被视为在此处提供任何真正的安全保障。 这只是一个记账练习。 如果您共享的 a 包含身份验证客户端可以构建对象 （例如使用 RMI 调用） ，则恶意客户端可以提交它自己创建的 （使用所选的用户名和权限列表）。 如果 是可猜测的或可以找到的，则匿名提供商将接受该令牌。 这在正常使用中不是问题。但是，如果您使用 RMI，则应使用省略匿名提供程序的自定义提供程序，而不是共享用于 HTTP 身份验证机制的提供程序。keyProviderManagerAnonymousAuthenticationProviderAuthenticationAnonymousAuthenticationTokenkeyProviderManagerspring-doc.cn

AuthenticationTrustResolver 认证

匿名身份验证讨论的圆满结束是接口及其相应的实现。 此接口提供了一个方法，该方法允许感兴趣的类考虑这种特殊类型的身份验证状态。 在处理实例中使用此接口。 如果引发 an 并且身份验证是匿名类型，则过滤器不会引发 403（禁止）响应，而是开始 ，以便主体可以正确进行身份验证。 这是一个必要的区别。否则，主体将始终被视为“经过身份验证”，并且永远不会有机会通过 form、basic、digest 或其他一些正常的身份验证机制登录。AuthenticationTrustResolverAuthenticationTrustResolverImplisAnonymous(Authentication)ExceptionTranslationFilterAccessDeniedExceptionAccessDeniedExceptionAuthenticationEntryPointspring-doc.cn

我们经常看到早期拦截器配置中的属性被 替换，这在定义访问控制时实际上是一样的。 这是使用 的一个示例 ，我们将在 授权 一章中介绍。 它使用 来处理此特定配置属性并向匿名用户授予访问权限。 该方法更强大，因为它允许您区分匿名用户、记住我用户和完全身份验证的用户。 但是，如果您不需要此功能，则可以坚持使用 ，它由 Spring Security 的标准处理。ROLE_ANONYMOUSIS_AUTHENTICATED_ANONYMOUSLYAuthenticatedVoterAuthenticationTrustResolverAuthenticatedVoterROLE_ANONYMOUSRoleVoterspring-doc.cn

使用 Spring MVC 获取匿名身份验证

Spring MVC 使用自己的参数解析器解析 Principal 类型的参数。spring-doc.cn

这意味着，像这样的结构：spring-doc.cn

@GetMapping("/")
public String method(Authentication authentication) {
	if (authentication instanceof AnonymousAuthenticationToken) {
		return "anonymous";
	} else {
		return "not anonymous";
	}
}
@GetMapping("/")
fun method(authentication: Authentication?): String {
    return if (authentication is AnonymousAuthenticationToken) {
        "anonymous"
    } else {
        "not anonymous"
    }
}

将始终返回 “not anonymous”，即使对于匿名请求也是如此。 原因是 Spring MVC 使用 解析参数，即请求是匿名的。HttpServletRequest#getPrincipalnullspring-doc.cn

如果您想获取匿名请求，请改用：Authentication@CurrentSecurityContextspring-doc.cn

将 CurrentSecurityContext 用于匿名请求
@GetMapping("/")
public String method(@CurrentSecurityContext SecurityContext context) {
	return context.getAuthentication().getName();
}
@GetMapping("/")
fun method(@CurrentSecurityContext context : SecurityContext) : String =
		context!!.authentication!!.name