@EnableWebSecurity和@EnableWebMvcSecurity有什么区别？

Question

@EnableWebSecurity

JavaDoc文档:

将此批注添加到@Configuration类中,以通过扩展基类和覆盖单个方法来Spring Security定义任何WebSecurityConfigurer或更多可能的配置WebSecurityConfigurerAdapter.

@EnableWebMvcSecurity

JavaDoc文档:

将此批注添加到@Configuration类中以使Spring Security配置与其集成Spring MVC.

• " 与Spring MVC集成 "到底意味着什么？我得到了什么额外的行为？
• 我找到了指南和答案,这表明这个注释会添加CSRF Tokens到Spring MVCForms中,这是它添加的唯一内容吗？

Answer 1

从Spring Security 4.0开始,@EnableWebMvcSecurity不推荐使用.替换 @EnableWebSecurity将决定基于类路径添加Spring MVC功能.

要启用Spring Security与Spring MVC的集成, 请在配置中添加@EnableWebSecurity 注释.

资源

Answer 2

如果您查看这些类,@EnableWebMvcSecurity实际上会添加@EnableWebSecurity注释WebMvcSecurityConfiguration.因此,@EnableWebMvcSecurity所做的一切@EnableWebSecurity,以及更多.

还有什么问题？

如果您查看WebMvcSecurityConfiguration,您将看到它添加了一个,AuthenticationPrincipalArgumentResolver以便您可以通过向控制器方法参数添加注释来访问身份验证主体.即:

public String show(@AuthenticationPrincipal CustomUser customUser) {
    // do something with CustomUser
    return "view";
}

它还与Spring Web MVC集成,为表单添加CSRF令牌.