java - Spring Security 3.1 和不安全的 HTTP channel

Question

我们最近刚刚从 Spring Security 3.0 版升级到 3.1 版。我们的旧配置文件显然使用了一个已弃用的功能，您可以使用 'filter="none"' 选项禁用 block 中 block 的安全性。这是我们旧的 applicationContext-security.xml 文件的片段:

<http ...>
    <intercept-url pattern="/resetPassword" filter="none" requires-channel="https" />
</http>

Spring Security 3.1 强制您定义额外的 block 以关闭某些 URL 模式的安全性:

<http security="none" pattern="/resetPassword" />

问题:如何为这个新的 block 强制使用 HTTPS channel ？

Answer 1

您使用的配置实际上并不需要 https，因为 filters="none"意味着 Spring Security 不应关注该请求。而对于 Spring Security 3 和 3.1，你应该使用类似的东西:

  <http use-expressions="true" ...>
    <intercept-url pattern="/resetPassword" access="permitAll" requires-channel="https" />
  </http>