java - 将 Spring MVC 安全定向更改为登录

Question

我正在尝试使用 Spring 的安全包。默认情况下，当定向到根 URL 时，安全 Controller 将接管并显示 login.html 页面。

我想要的是一个带有“登录”选项的漂亮登陆页面，该选项将显示 login.html。

我怎样才能改变这种行为。我对 Spring 很陌生。

我的拦截配置为:

<http auto-config="true" use-expressions="true">
    <intercept-url pattern="/assets/css/**" access="isAnonymous()"/>
    <intercept-url pattern="/assets/js/**" access="isAnonymous()"/>
    <intercept-url pattern="/assets/img/**" access="isAnonymous()"/>
    <intercept-url pattern="/header.html" access="isAnonymous() or hasRole('ROLE_USER')"/>
    <intercept-url pattern="/welcome.html" access="isAnonymous() or hasRole('ROLE_USER')"/>
    <intercept-url pattern="/login.html" access="isAnonymous()"/>
    <intercept-url pattern="/loginFailed.html" access="isAnonymous()"/>
    <intercept-url pattern="/logout.html" access="hasRole('ROLE_USER')"/>
    <intercept-url pattern="/403.html" access="isAnonymous()"/>
    <intercept-url pattern="/**" access="hasRole('ROLE_USER')"/>
    <form-login login-page="/login.html" authentication-failure-url="/loginFailed.html"/>
    <logout logout-success-url="/logout.html"/>
    <access-denied-handler error-page="/403.html"/>
</http>

web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">

    <context-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>
            classpath:/jpaContext.xml
            /WEB-INF/config/security-config.xml
        </param-value>
    </context-param>

    <filter>
        <filter-name>springSecurityFilterChain</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>

    <filter-mapping>
        <filter-name>springSecurityFilterChain</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

    <listener>
        <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
    </listener>

    <filter>
        <filter-name>SpringOpenEntityManagerInViewFilter</filter-name>
        <filter-class>org.springframework.orm.jpa.support.OpenEntityManagerInViewFilter</filter-class>
    </filter>

    <servlet>
        <servlet-name>myServlet</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>/WEB-INF/config/servlet-config.xml</param-value>
        </init-param>
    </servlet>

    <servlet-mapping>
        <servlet-name>myServlet</servlet-name>
        <url-pattern>*.html</url-pattern>
    </servlet-mapping>

    <servlet-mapping>
        <servlet-name>myServlet</servlet-name>
        <url-pattern>/pdfs/**</url-pattern>
    </servlet-mapping>

    <servlet-mapping>
        <servlet-name>myServlet</servlet-name>
        <url-pattern>/images/**</url-pattern>
    </servlet-mapping>

    <servlet-mapping>
        <servlet-name>myServlet</servlet-name>
        <url-pattern>*.json</url-pattern>
    </servlet-mapping>

    <display-name>Archetype Created Web Application</display-name>
</web-app>

Answer 1

更改isAnonymous()至permitAll - 否则登录后您可能会得到一些奇怪的结果。

尤其要记住让 Web 应用程序的根目录保持可访问 - 这可能就是您立即重定向到登录页面的原因。

例如 <intercept-url pattern="/" access="permitAll" />

哦，改变这个<intercept-url pattern="/**" access="hasRole('ROLE_USER')"/>至

<intercept-url pattern="/**" access="denyAll" />

这确保默认情况下一切都是安全的，然后您必须通过 PermitAll、hasRole 或 isAuthenticated() 显式授予权限。否则，登录用户可以访问您未手动保护的所有内容，这可能是一个明显的安全风险。

一旦根目录和登录页面设置为 permitAll然后，您可以自由设置自己的登录页面，用户可以选择登录，而不是像目前的情况一样立即被迫这样做。