Spring Security 拦截 URL 不适用于自定义 UserDetails 对象

Question

我对 Spring Security 很陌生，所以请耐心等待。如果有人可以指导我，我愿意接受让这个问题更具体的建议。

我的问题是我在 Spring 安全性中有一个拦截 URL 配置，但即使用户具有必要的角色，它也总是重定向到拒绝访问页面。这是我的 Spring 安全配置：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security-4.1.xsd">

    <!-- enable use-expressions -->
    <http auto-config="true" use-expressions="true">

        <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />

        <!-- access denied page -->
        <access-denied-handler error-page="/403" />

        <session-management invalid-session-url="/login"
            session-fixation-protection="newSession">
            <concurrency-control max-sessions="1"
                error-if-maximum-exceeded="true" />
        </session-management>

        <form-login login-page="/login" authentication-failure-url="/login?error"
            username-parameter="emailId" password-parameter="pwd" />
        <logout logout-success-url="/login?logout" delete-cookies="JSESSIONID" />
        <csrf token-repository-ref="tokenRepository" />
    </http>

    <authentication-manager>
        <authentication-provider ref="customAuthenticationProvider" />
    </authentication-manager>

</beans:beans>

通过我的研究，我觉得上述配置没有任何问题，但由于我使用的是自定义 UserDetails 对象，这可能是个问题。这是 POJO：

public class CustomUser implements UserDetails {

    private static final long serialVersionUID = 1L;
    private String userID;
    private String emailId;
    private String password;
    private boolean enabled = true;
    private boolean accountNonExpired = true;
    private boolean credentialsNonExpired = true;
    private boolean accountNonLocked = true;
    private List<Role> authorities;

    @Override
    public List<Role> getAuthorities() {
        return authorities;
    }
    //other setters and getters
}

角色类：

public class Role implements GrantedAuthority {

    private static final long serialVersionUID = 1L;
    private String name;

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public String getAuthority() {
        return this.name;
    }
}

我还有一个自定义 UserDAO 类，用于填充 CustomUser POJO，并且我已验证设置值没有问题。

这是我的原则（如日志中所写）：

Principal: CustomUser [userID=user1, emailId=test@test.com, password=pwd, enabled=true, accountNonExpired=true, credentialsNonExpired=true, authorities=[Role [name=ADMIN]]];

页面总是被拒绝的原因是什么？

感谢您花时间阅读整篇文章:)

Answer 1

已更改

<intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />

到

<intercept-url pattern="/admin/**" access="hasRole('ADMIN')" />

编辑

如果以前的解决方案不起作用，请尝试这种方式。

在您的角色中查看它返回“ADMIN”并且您期望“ROLE_ADMIN”

将角色名称更改为表格

“ADMIN”到“ROLE_ADMIN”