Нужно создать еще один security adapter наряду с основным:
1.
2.
@Configuration @EnableWebSecurity @Order(200)
static class BasicAuthForApiSecurity extends WebSecurityConfigurerAdapter
SpringSecurity будет проходить сначала по одному, затем по другому (в порядке @Order) пока запрос не подойдет под описанный в
configure(HttpSecurity) request matcher. А сам request matcher может матчить не только по адресу, но и по хедеру (Authorization Basic):
1.
2.
3.
4.
5.
RequestMatcher requestMatcher = (request) -> {
String auth = request.getHeader(HttpHeaders.AUTHORIZATION);
boolean toApi = request.getRequestURI().startsWith("/blah");
return ((auth != null && auth.startsWith("Basic")) || toApi);
};
Я эти штуки настраиваю раз в несколько лет (и при этом SS меняет АПИ и делает его все хуже), поэтому на мои слова прям сильно не полагайся. Надо читать доки или дебажить этот ужасный SS.
