Springを用いてJava8で複数のAPIを実装しています。
特定のAPI(POSTリクエスト"/secure/1")でのみBasic認証を行いたいため、Spring Securityで認証処理を実装しようとしています。
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/secure/1").authenticated() // /secure/1 に対して Basic 認証を適用
.anyRequest().permitAll() // それ以外のリクエストは認証不要
.and()
.httpBasic(); // Basic認証を有効にする
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication() // 認証情報の設定
.withUser("username")
.password(passwordEncoder().encode("password"))
.roles("USER");
}
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
上記に対してPostmanで確認を行ったところ、
POSTリクエスト"/secure/1"の場合、想定通り
①Basic認証情報なし:認証エラー(401)
②正しいBasic認証情報:正常(200)
③不正なBasic認証情報:認証エラー(401)
POSTリクエスト"/nonsecure/2"の場合に想定外の動き
④Basic認証情報なし:正常(200)
⑤正しいBasic認証情報:正常(200)
⑥不正なBasic認証情報:認証エラー(401)
となり、⑥ではpermitAll()の対象としてBasic認証情報の有無に関わらず認証される想定ですが、401エラーになってしまいます。
Springの公式リファレンスを確認しても原因を特定できません。どなたかご教示いただけませんでしょうか?
※Postmanのキャッシュクリア、サーバーの再起動で直らないことは確認済みです。