如何使用Spring Boot和Spring Security保护REST API？
我知道保护REST API是一个被广泛评论的话题，但是我无法创建一个符合我的标准的小型原型（并且我需要确认这些标准是现实的）。如何保护资源以及如何使用Spring安全性有很多选择，我需要弄清楚我的需求是否现实。 我的要求 基于令牌的身份验证器-用户将提供其凭据，并获得唯一且受时间限制的访问令牌。我想在自己的实现中管理令牌的创建，检查有效性和到期时间。 某些REST资源将是公开的-完全不需要身份验证， 某些资源仅对具有管理员权限的用户可用， 授权所有用户后，即可访问其他资源。 我不想使用基本身份验证 Java代码配置（非XML） 当前状态 我的REST API运作良好，但现在我需要保护它。当我寻找解决方案时，我创建了一个javax.servlet.Filter过滤器： @Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; String accessToken = request.getHeader(AUTHORIZATION_TOKEN); Account account = accountDao.find(accessToken); if (account == null) { throw new UnauthorizedException(); } chain.doFilter(req, res); } …