1. 概述
Spring Security 是一個功能強大、高度可定製的 Java 應用程序身份驗證和訪問控制框架。我們將概述 Spring Security 的目的以及在何時禁用它的一些常見場景，例如在開發、測試或使用自定義安全機制時。
本文將指導我們如何在 Spring Boot 應用程序中禁用 Spring Security，同時確保配置易於管理和回滾。我們還將提供代碼示例供我們在項目中使用，並附帶單元測試，以演示其行為。在本教程中，我們將討論理解如何在 Spring Boot 應用程序中禁用 Spring Security 的基本概念。
2. 禁用 Spring Security
根據我們的應用程序的特定要求，我們可以通過多種方式禁用 Spring Security。 我們將探索四種常見方法：
- 使用自定義安全配置
- 利用 Spring 配置文件
- 移除 Spring Security 依賴
- 排除 Spring Security 自動配置
在討論禁用 Spring Security 的不同策略之前，讓我們通過 Spring Initializr 創建一個簡單的 Spring Boot 應用程序，該應用程序將在整個指南中使用。 我們將創建一個 最小的基於 Maven 的 Spring Boot 項目，其中包含一個單控制器，該控制器將用作我們的測試端點：
@RestController
@RequestMapping("/api")
public class PublicController {
@GetMapping("/endpoint")
public ResponseEntity<String> publicEndpoint() {
return ResponseEntity.ok("This is a public endpoint.");
}
}
3. 使用自定義安全配置
禁用 Spring Security 的最直接方法是通過創建自定義安全配置類。 這種方法涉及定義和配置一個 <em><strong>SecurityFilterChain</strong></em> bean，以允許所有請求在不進行身份驗證的情況下通過：
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http.authorizeHttpRequests(auth -> auth.anyRequest().permitAll())
.csrf(AbstractHttpConfigurer::disable);
return http.build();
}
4. Leveraging Spring Profiles
Spring profiles 允許我們為應用程序配置不同的環境。我們可使用 profiles 來禁用某些環境中的安全功能，例如開發或測試環境。 創建一個新的 profile 專屬的屬性文件，例如 application-dev.properties，並添加以下行：
server.port= 8080
spring.profiles.active=dev
spring.application.name=spring-security-noauth-profile現在，創建一個名為 DevSecurityConfiguration 的新 Java 類。此類專門配置為在 Spring Boot 應用程序的 “dev” profile 中。它允許所有端點無限制訪問，通過允許所有請求來實現這一點。這在開發階段非常有用，可以簡化安全約束的測試和調試：
@Profile("dev")
public class DevSecurityConfiguration {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http.authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
return http.build();
}
}除了上述配置外，我們還將定義另一個 安全配置類 ，該類在 dev profile 未激活時應用。 此配置 啓用身份驗證，並 允許對所有端點進行受限制的訪問：
@Profile("!dev")
public class SecurityConfiguration {
@Bean
SecurityFilterChain httpSecurity(HttpSecurity http) throws Exception {
http.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
.formLogin(withDefaults())
.httpBasic(withDefaults());
return http.build();
}
}當我們在開發環境中使用 dev profile 運行應用程序時，所有請求將被允許，而無需進行身份驗證。 但是，當應用程序使用除 dev profile 以外的任何 profile 時，我們的應用程序需要對任何請求進行身份驗證。
5. Removing Spring Security Dependency
禁用 Spring Security 的最簡單方法是將其從項目依賴中刪除。 通過這樣做，我們將刪除 Spring Security 提供的所有安全相關配置和默認設置：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
<version>...</version>
</dependency>刪除此依賴項將消除應用程序中的所有 Spring Security 功能。
6. Excluding Spring Security Auto-Configuration
Spring Boot 在我們包含 spring-boot-starter-security 在 classpath 中時會自動配置安全功能。 要禁用它，請通過向 application.properties 添加以下屬性來排除自動配置：
spring.autoconfigure.exclude=org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration如果我們要完全禁用 Spring Security，則應使用 spring.autoconfigure.exclude，而無需創建 SecurityConfiguration 類。 手動配置 Spring Security 類會覆蓋 application.properties 配置，因此在兩者都使用時，排除在 application.properties 中配置時沒有效果。
7. Testing Without Security
我們可以通過啓動應用程序並訪問本地端點來驗證我們是否已禁用安全功能。 啓動並運行 spring boot 應用程序，然後當我們嘗試訪問 REST 端點時，我們會看到下面的響應：
server.port= 8080
spring.profiles.active=dev
spring.application.name=spring-security-noauth-profileচিতেર হানি 従 مرتبط 눌ید
8. 結論
在本文中，我們討論了用於在 Spring Boot 應用程序中禁用 Spring Security 的各種方法，每種方法都適用於不同的場景。無論我們是否使用自定義安全配置或利用 Spring 配置文件，應使我們的方法與開發和部署需求保持一致。通過遵循本文中概述的步驟，我們可以確保我們的應用程序保持靈活性和易於管理，尤其是在開發和測試階段。
