Является ли "нормальным" требовать `ConfigurationAttribute`s в AuthenticationFilter в Spring Security?

Question

Или это идентифицирует проблему дизайна?

Чтобы решить, следует ли мне продолжать цепочку фильтров в моем собственном AuthenticationFilter, мне нужно проверить, является ли Authentication AnonymousAuthenticationToken и , имеет ли текущий сопоставленный URL access="permitAll" атрибут (который обычно обрабатывается FilterSecurityInterceptor).

So

<!-- chain should continue past authentication regardless of authentication type (anonymous/actual) -->
<security:intercept-url pattern="/pages/public/public.html" access="permitAll"/>

<!-- chain should continue only on non-anonymous authentication -->
<security:intercept-url pattern="/pages/authenticated/stuff.html" access="isAuthenticated()"/>

Другими словами, мне нужен способ идентифицировать URL-пути, по которым я должен пропустить аутентификацию, но при этом иметь анонимный токен, поэтому перехватчик безопасности работает как обычно.

Я использую Spring Security 3.0.1, поэтому отдельные цепочки фильтров для разных путей URL в настоящее время недоступны.

Answer 1

Ну, вы смешиваете аутентификацию и авторизацию, так что это, безусловно, запах. В чем проблема с access="IS_AUTHENTICATED_ANONYMOUSLY"?