プログラムでスプリングセキュリティを無効にする

Question

私は春のセキュリティを持つWebアプリケーションを持っており、デフォルトではすべてのページに承認が必要です。私のシナリオでは、管理者はある時点でいくつかのページのセキュリティを無効にしたり、完全に無効にすることを決めることができます。どのようにこれを達成するのが最善でしょうか？私はFilterChainProxyの変更について考えていましたが、どのように正確に（getFilterChains()が変更不可能なリストを返すか）私には明らかではありませんか？

Answer 1

サブクラスDelgatingFilterProxyを見てくださいと、デリゲートを呼び出すするか否かのフラグをチェックします。

DelegatingFilterProxyの代わりにweb.xmlにspringSecurityFilterChain（名前空間の設定を使用していると仮定）を使用してください。例えば：あなたのDelegatingFilterProxyで

<filter> 
    <filter-name>springSecurityFilterChain</filter-name> 
    <filter-class>com.foo.spring.MyDelegatingFilterProxy</filter-class> 
</filter> 

あなたが委任またはべきでないかどうかを確認するために（例えば、システムプロパティ）フラグをチェック。

class MyDelegatingFilterProxy extends DelegatingFilterProxy { 

    override def doFilter(request: ServletRequest, response: ServletResponse, chain: FilterChain) { 

    if (System.getProperty("skipSpringSecurity" != null) { 
     // Ignore the DelegatingProxyFilter delegate 
     chain.doFilter(request, response) 
    } else { 
     // Call the delegate 
     super.doFilter(request, response, chain) 
    } 
    } 
} 

あなたは<security:intercept-url pattern="/**" access="ROLE_USER" />のようなブランケットワイルドカードを使用するために、同じ技術を使用して、（静的ファイル、などのために）/下のパスのいくつかのセットのために春のセキュリティフィルタを呼び出すスキップすることができます。

Answer 2

スプリングセキュリティはどのように設定されていますか？あなたの条件を検証するカスタムpermissionEvaluatorを追加することができますか？

はspring-security writing a custom PermissionEvaluator - how to inject a DAO service?