为什么Spring Security无法运行？

Question

我正在尝试将Spring Security集成到我的项目中.

我按照这里给出的文档:https: //spring.io/guides/gs/securing-web/

我使用XML配置了所有内容,而不是Spring Boot.

我web.xml是:

<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

<servlet>
    <servlet-name>dispatcher</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <load-on-startup>1</load-on-startup>
</servlet>

<servlet-mapping>
    <servlet-name>default</servlet-name>
    <url-pattern>*.css</url-pattern>
</servlet-mapping>

<servlet-mapping>
    <servlet-name>default</servlet-name>
    <url-pattern>*.js</url-pattern>
</servlet-mapping>

<servlet-mapping>
    <servlet-name>dispatcher</servlet-name>
    <url-pattern>/</url-pattern>
</servlet-mapping>

dispatcher-servlet.xml:

<context:component-scan base-package="com.name.ot" />

<bean id="resolver"
    class="org.springframework.web.servlet.view.InternalResourceViewResolver">
    <property name="viewClass"
        value="org.springframework.web.servlet.view.JstlView" />
    <property name="prefix" value="/WEB-INF/" />
    <property name="suffix" value=".jsp" />
</bean>

我的视图控制器是:

@Controller
public class HomeController{

    @RequestMapping(value={"/", "/home"}, method = RequestMethod.GET)
    public ModelAndView home() {

        ModelAndView model = new ModelAndView("home");
        return model;
    }

    @RequestMapping(value={"/hello"}, method = RequestMethod.GET)
    public ModelAndView hello() {

        ModelAndView model = new ModelAndView("hello");
        return model;
    }

    @RequestMapping(value={"/login"}, method = RequestMethod.GET)
    public ModelAndView login() {

        ModelAndView model = new ModelAndView("login");
        return model;
    }
}

我的安全类:

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("password").roles("USER");
    }
}

但是,我能够访问所有网页,/,/home,/hello,/login.

我不希望用户直接访问/hello,而不进入/login.

我究竟做错了什么？

Answer 1

我遇到过同样的问题.

我的解决方案如Craig Walls p247的"Spring in action"一书所述.您需要创建一个扩展AbstractSecurityWebApplicationInitializer的空类.

public class SecurityWebInitializer extends AbstractSecurityWebApplicationInitializer {}

Answer 2

您必须注册Filter Chain Proxy。

对于 XML 配置，请参阅Spring Security 参考：

使用 servlet 过滤器时，您显然需要在您的 中声明它们web.xml，否则它们将被 servlet 容器忽略。在 Spring Security 中，过滤器类也是在应用程序上下文中定义的 Spring bean，因此能够利用 Spring 丰富的依赖注入设施和生命周期接口。SpringDelegatingFilterProxy提供web.xml了应用程序上下文之间的链接。

使用时DelegatingFilterProxy，您将在web.xml文件中看到类似的内容：

<filter>
    <filter-name>myFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

<filter-mapping>
    <filter-name>myFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

对于 Java 配置和 Servlet API 3+，请参阅Spring Security Reference：

下一步是springSecurityFilterChain在战争中注册。这可以在 Java 配置中使用 Spring 的WebApplicationInitializer支持在 Servlet 3.0+ 环境中完成。不出所料，Spring Security 提供了一个基类AbstractSecurityWebApplicationInitializer来确保springSecurityFilterChain为您注册。