[RESTful API] 如何放行不需要 token 验证的接口

[fuxinya]

Spring boot 项目。现有接口

1. 获取商品资源 GET api/goods/{goodsId}

2. 修改商品资源 PUT api/goods/{goodsId}

二者路径相同，GET 方法任何人都可以访问，无需登录，但是 PUT 需要登录验证 token

问题来了，项目中有个 token 拦截器 Interceptor，验证并从 token 里拿到用户 id，但是白名单 excludePathPatterns 却是按路径匹配的，只要符合此路径，无论什么方法（ GET, PUT ）都会放行，导致 PUT 接口出现问题，拿不到用户 id。

如何解决？

[zhazi]

写个注解在被访问的函数上，拦截器判断到直接忽略校验

[zhazi]

想当然了，不知道是啥语言，思路是这样

[zhazi]

又看到 springboot 第二条当我没说

[fuxinya]

@zhazi 我傻了，这个方法咋就没想到呢，spring 核心就是 AOP，忘本了

[qwx]

修改拦截器代码，让其不仅针对 path，同时也必须匹配方法。

[youngxhui]

使用 spring boot Security 框架，把不需要校验的路径写进去

[zorui]

spring boot Security 我记得是可以验证 method 的。

[AlisaDestiny]

HandlerInterceptor 的 preHandle 方法的第三个参数就是 HandlerMethod 实例，获取 method 上的注解，判断有没有特定注解就行了。so easy.

[jorneyr]

<intercept-url pattern="/api/schools" access="permitAll" method="GET"/>

这个是普通的 Spring MVC 中 Spring Security 的，SpringBoot 应该有相似的办法。

[Jonz]

··· java
if (method.isAnnotationPresent(IgnoreToken::class.java)) {
val passToken = method.getAnnotation(IgnoreToken::class.java)
if (passToken.required) {
return true
}
}
···

我项目里是自定义 IgnoreToken 注解来处理

[fuxinya]

@Jonz 谢谢回复，目前就是用的判断注解的方法