更新到 Spring Security 5.8.6 后 JBoss 上的 Spring 请求匹配器问题

问：

从 Spring Security 5.8.2 升级到 5.8.6 后，我在 JBoss EAP 7.4 上的部署遇到了问题（它在嵌入式 Tomcat 上工作正常）。我收到以下错误消息：

此方法无法确定这些模式是否为 Spring MVC 模式与否。如果此端点是 Spring MVC 端点，请使用 requestMatchers（MvcRequestMatcher）;否则，请使用 requestMatchers（AntPathRequestMatcher）。

这是因为 servlet 上下文：{org.apache.jasper.servlet.JspServlet=[*.jsp， .jspx]， javax.faces.webapp.FacesServlet=[/faces/， *.jsf， *.faces， *.xhtml]， org.springframework.web.servlet.DispatcherServlet=[/]}。

对于每个 MvcRequestMatcher，将 MvcRequestMatcher#setServletPath 调用到 指示 servlet 路径。

我该如何解决这个问题？我们只有由 @Controller 注释的控制器，没有自定义 servlet。我的安全配置基本上如下：

@Configuration
@EnableWebSecurity
@EnableMethodSecurity(securedEnabled = true)
public class MySecurityConfig
{
    @Bean
    MvcRequestMatcher.Builder mvc(HandlerMappingIntrospector introspector)
    {
        return new MvcRequestMatcher.Builder(introspector);
    }


    @Bean
    public SecurityFilterChain filterChain(HttpSecurity httpSecurity, MvcRequestMatcher.Builder mvc) throws Exception
    {
       return httpSecurity
                .authorizeHttpRequests(auth ->
                        auth.requestMatchers(HttpMethod.OPTIONS)
                                .permitAll()
                                .requestMatchers(
                                        mvc.pattern("/my-public-controller-1/**"),
                                        mvc.pattern("/my-public-controller-2/**"),
                                        mvc.pattern("/my-public-controller-3/**"))
                                .permitAll()
                                .anyRequest()
                                .authenticated())
                .build();
    }
}

我们使用 JBoss 默认配置。有一个和一个.最后一个文件如下所示：jboss-web.xmljboss-deployment-structure.xml

<jboss-deployment-structure>
    <deployment>
        <dependencies>
            <module name="com.sun.xml.bind"/>
        </dependencies>
        <exclude-subsystems>
            <subsystem name="jaxrs"/>
            <subsystem name="logging"/>
        </exclude-subsystems>
    </deployment>
</jboss-deployment-structure>

我试图像这样玩弄请求匹配器，但它没有帮助。

    public SecurityFilterChain filterChain(HttpSecurity httpSecurity, MvcRequestMatcher.Builder mvc) throws Exception
    {
        return httpSecurity
                .authorizeHttpRequests(auth ->
                        auth.requestMatchers(HttpMethod.OPTIONS)
                                .permitAll()
                                .requestMatchers(
                                        mvc.pattern("/my-public-controller-1/**"),
                                        mvc.pattern("/my-public-controller-2/**"),
                                        mvc.pattern("/my-public-controller-3/**"),
                                        antMatcher("/faces/*"))
                                .permitAll()
                                .anyRequest()
                                .authenticated())
                .build();
    }

我试图将 Faces 排除在外，但这一步毁了一切：jboss-deployment-structure.xml

<jboss-deployment-structure>
    <deployment>
        <dependencies>
            <module name="com.sun.xml.bind"/>
        </dependencies>
        <exclude-subsystems>
            <subsystem name="jaxrs"/>
            <subsystem name="logging"/>
        </exclude-subsystems>
        <exclusions>
            <module name="javax.faces.api" slot="main"/>
        </exclusions>
    </deployment>
</jboss-deployment-structure>

我在这里看到了一个类似的问题，但我无法从中找到可行的解决方案：https://github.com/spring-projects/spring-security/issues/13568

顺便说一句，我们使用默认的servlet路径，所以错误消息中的这个建议对我来说毫无意义：

对于每个 MvcRequestMatcher，将 MvcRequestMatcher#setServletPath 调用到 指示 servlet 路径使

尽管如此，我还是尝试了类似的东西，但这也没有帮助：

    @Bean
    MvcRequestMatcher.Builder mvc(HandlerMappingIntrospector introspector)
    {
        return new MvcRequestMatcher.Builder(introspector).servletPath("");
    }