我有一个使用Spring Security的Web应用程序。它使用<intercept-url ../>元素描述不同URL的访问过滤器。默认情况下，这不考虑url的请求参数。我需要根据请求参数设置URL的自定义安全规则。所以我做了以下工作：

1）我创建了一个bean后处理器类，它将为spring安全机制启用request parameters选项：

<beans:beans>
    . . .
    <beans:bean class="MySecurityBeanPostProcessor">
        <beans:property name="stripQueryStringFromUrls" value="false" />
    </beans:bean>
    . . .
</beans:beans>

And the code:

public class MySecurityBeanPostProcessor implements BeanPostProcessor {

    private Boolean stripQueryStringFromUrls = null;

    @Override
    public Object postProcessAfterInitialization(Object bean, String beanName) throws BeansException {
        if (bean instanceof DefaultFilterInvocationSecurityMetadataSource && stripQueryStringFromUrls != null) {
            ((DefaultFilterInvocationSecurityMetadataSource) bean)
                .setStripQueryStringFromUrls(stripQueryStringFromUrls.booleanValue());
        }
        return bean;
    }

    // code stripped for clarity
}

这应该设置spring安全性元数据源以考虑请求参数。我已经调试了上面的代码，并且stripQueryStringFromUrls正在设置属性。

2）在我的安全上下文xml中，我具有以下定义：

<intercept-url pattern="/myUrl?param=value" access="!isAuthenticated() or hasRole('ROLE_GUEST')" />
<intercept-url pattern="/myUrl" filters="none" />
...
<intercept-url pattern="/**" access="isAuthenticated()" />

如你所见，仅当用户未通过身份验证或使用来宾帐户时，我才需要使用指定的参数访问URL。另外，我为相同的url添加了一个规则，但没有任何参数，没有过滤器。

据我所知，应该配置Spring安全性在提供较低特定性之前提供较高特定性的url ，因为否则，链将首先检测到较通用的规则，而不会继续遵循较高特定性的规则。这就是为什么我希望带有params的url更具体，因此将拒绝对经过身份验证的非guest用户的访问。相反，下面定义的更通用的规则适用。这是输出：

INFO [STDOUT] 186879 [http-0.0.0.0-8080-1] DEBUG org.springframework.security.web.FilterChainProxy - Candidate is: ‘/myUrl’; pattern is /myUrl; matched=true
INFO [STDOUT] 186879 [http-0.0.0.0-8080-1] DEBUG org.springframework.security.web.FilterChainProxy - /myUrl?param=value has an empty filter list

我还尝试删除没有参数的url规则。然后，过滤器选择/**模式并要求用户登录，而不是让我的参数带有参数的url起作用。的输出是：

INFO [STDOUT] 73066 [http-0.0.0.0-8080-1] DEBUG org.springframework.security.web.FilterChainProxy - Candidate is: ‘/myUrl’; pattern is /**; matched=true
INFO [STDOUT] 73068 [http-0.0.0.0-8080-1] DEBUG org.springframework.security.web.FilterChainProxy - /myUrl?param=value at position 1 of 8 in additional filter chain; firing Filter: ‘SecurityContextPersistenceFilter’

编辑：

得出的结论是，我观察到的/myUrl?param=value是从未应用过该过滤器-好像security-context.xml中的条目被忽略了。这符合我到目前为止观察到的行为。我还尝试了将替换filters="none"为access="permitAll"，切换为正则表达式（并相应地更改了模式-例如/myUrl?param=value变为\A/myUrl\?param=value\Z），并且在所有变体中，我得到的行为都是相同的。

编辑2：

这里描述的问题实际上是无效的。原因如下：存在问题的项目由于内部库冲突和不兼容而排除了一些spring软件包，而整个设置却以某种方式起作用。我从来没有意识到这一点，实际上，这种不纯净的配置使整个问题变得过时了。具体的原因是isAuthenticated（）和isAnonymous（）方法的实现未按预期工作，因此此处提供的任何建议均无效。