Spring Boot 2.0.x отключить безопасность для определенного профиля

Вот как я решил проблему. Вот пример того, как моя конфигурация безопасности выглядела в Spring Boot 1.5.x. Безопасность была отключена свойством security.basic.enabled=false:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/upload/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable().authorizeRequests()
                .anyRequest().authenticated()
                .and().httpBasic();
    }
}

Поскольку security.basic.enabled был удален в Spring Boot 2 (но все еще зарезервирован как имя свойства), я в конечном итоге использовал security.enabled в качестве настраиваемого свойства. Вот пример того, как моя конфигурация выглядит в Spring Boot 2:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${security.enabled:true}")
    private boolean securityEnabled;

    @Override
    public void configure(WebSecurity web) throws Exception {
        if (securityEnabled)
            web.ignoring().antMatchers("/upload/**");
        else
            web.ignoring().antMatchers("/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        if (securityEnabled)
            http.csrf().disable().authorizeRequests()
                    .anyRequest().authenticated()
                    .and().httpBasic();
    }
}

Вы должны добавить настраиваемую конфигурацию Spring Security, см. Справочное руководство по Spring Boot:

28.1 MVC Security

The default security configuration is implemented in SecurityAutoConfiguration and UserDetailsServiceAutoConfiguration. SecurityAutoConfiguration imports SpringBootWebSecurityConfiguration for web security and UserDetailsServiceAutoConfiguration configures authentication, which is also relevant in non-web applications. To switch off the default web application security configuration completely, you can add a bean of type WebSecurityConfigurerAdapter (doing so does not disable the UserDetailsService configuration or Actuator’s security).

Например:

@Configuration
public class ApplicationSecurity extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web
           .ignoring()
               .antMatchers("/**");
    }
}

Чтобы использовать конфигурацию только для профиля, добавьте в класс @Profile. Если вы хотите включить его по свойству, добавьте в класс ConditionalOnProperty.

На самом деле для определенных конфигураций на этот вопрос есть несколько ответов; в моем случае я играл с Spring Boot 2 с Spring Security и JWT. Чтобы защитить мои конечные точки REST, мне нужно создать токены и т. д. После того, как я написал свой код и попытался протестировать свои конечные точки, чтобы убедиться, что JWT работает нормально, я оказываюсь перед страницей входа по умолчанию. Я попытался изменить файл свойств, упомянутый выше, и, наконец, отключил его, добавив аннотацию @SpringBootApplication(exclude = {SecurityAutoConfiguration.class} ) в свой класс приложения.

@SpringBootApplication(exclude = {SecurityAutoConfiguration.class} )
public class JwtWithSpringBootApplication {

    public static void main(String[] args) {
        SpringApplication.run(JwtWithSpringBootApplication.class, args);
    }
}

Есть еще один вариант отключения безопасности в весенней загрузке 2.

@EnableAutoConfiguration(exclude = {SecurityAutoConfiguration.class})

Добавьте это поверх основного класса

В весенней загрузке 2.1.4 пришлось это сделать

@EnableAutoConfiguration(exclude = {SecurityAutoConfiguration.class, SecurityFilterAutoConfiguration.class})

Весенняя загрузка 2.1.3

Для определенного профиля "dev"

Создайте новый класс конфигурации Spring

@Configuration
@EnableAutoConfiguration(exclude = {SecurityAutoConfiguration.class})
@Profile("dev")
public class WebSecurityConfigDisable  {

}

Это отключит пружинную безопасность.

Вы можете отключить автоконфигурацию пружинной защиты, исключив SecurityAutoConfiguration.class, а ManagementWebSecurityAutoConfiguration.class должен быть исключен при получении зависимости пружина-пыльник-привод.

@SpringBootApplication(
exclude = { SecurityAutoConfiguration.class,  
            ManagementWebSecurityAutoConfiguration.class })
public class MySpringBootApplication {

Затем вы можете условно настроить свой пользовательский WebSecurityConfigurerAdapter, используя профиль или параметр конфигурации примерно так

@Configuration
@ConditionalOnProperty(prefix = "security.custom", name = "enabled", havingValue = "true")
@EnableWebSecurity
public class CustomWebSecurityConfiguration extends WebSecurityConfigurerAdapter {