我正在尝试添加我的自定义StrictHttpFirewall，以便在标头不匹配我的模式的情况下拒绝请求。
Spring安全配置如下：

@Configuration
@EnableWebSecurity
class SecurityConfig {

    companion object {
        private val HEADER_NAME_PATTERN = "^[a-z1-9_-]{1,512}$".toRegex(RegexOption.IGNORE_CASE)
        private val HEADER_VALUE_BASE_PATTERN = "[\\p{IsAssigned}&&[^\\p{IsControl}]]*".toRegex()
        private val HEADER_VALUE_ERROR_PATTERN = "[<>]".toRegex()
    }

    @Bean
    fun requestRejectedHandler(): RequestRejectedHandler = ErrorResponseRequestRejectedHandler()

    @Bean
    fun httpFirewall(): HttpFirewall {
        val firewall = StrictHttpFirewall()
        val headerNames = { header: String -> HEADER_NAME_PATTERN.matches(header) }
        val headerValues = { value: String ->
            HEADER_VALUE_BASE_PATTERN.containsMatchIn(value).and(
                !HEADER_VALUE_ERROR_PATTERN.containsMatchIn(value)
            )
        }
        firewall.setAllowedHeaderNames(headerNames)
        firewall.setAllowedHeaderValues(headerValues)
        firewall.setAllowedHttpMethods(
            listOf(GET.name(), POST.name(), PUT.name(), PATCH.name(), DELETE.name())
        )
        return firewall
    }

    @Bean
    @Throws(Exception::class)
    fun filterChain(http: HttpSecurity): SecurityFilterChain =
        http
            .authorizeHttpRequests { it.anyRequest().permitAll() }
            .sessionManagement {
                it
                    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                    .disable()
            }
            .headers {
                it
                    .frameOptions { option -> option.sameOrigin() }
                    .xssProtection(Customizer.withDefaults())
                    .cacheControl { cache -> cache.disable() }
                    .contentSecurityPolicy(Customizer.withDefaults())
            }
            .cors { it.disable() }
            .csrf { it.disable() }
            .requestCache { it.disable() }
            .build()
}

但不幸的是，它不工作，我仍然能够通过头部，是不匹配我的正则表达式。我有一个很长的调试会话，它看起来像是request本身（由mockMVC制作）拥有所有的头，但是spring security并没有检查request本身的头。有趣的提示：它正在验证我在控制器方法参数级别上指定为强制性的头-如@RequestHeader（value =“my-header”，required = true）。会很感激任何帮助。
已尝试：
1.将httpFirewall显式设置为WebSecurity -未成功
1.添加了自定义过滤器来调试头文件，结果头文件名被验证，但这只是因为我显式调用了request.headerNames.toList()，因为请求本身在内部被HttpFirewallRequest实现 Package ，这已经用我实际期望的验证覆盖了方法getHeaders。
1.不仅从mockMvc而且从RestTemplate发出请求，并且通过 Postman 发出请求-不成功