具有两个领域的 Spring 安全性，从不调用第一个 default-target-url

Question

我正在使用 Spring Security 3.1 并配置了两个领域，一个用于管理员用户，另一个用于其他用户，如下所示：

<!-- Configure realm for administration users -->
<http pattern="/admin/**" >
    <intercept-url pattern="/admin*" access="ROLE_ADMIN,ROLE_USER" />
    <form-login login-page="/adminLogin" default-target-url="/adminWelcome"
        authentication-failure-url="/loginfailed" />
    <logout logout-success-url="/logout" />
</http>

<!--  Configure realm for normal users -->
<http>
    <intercept-url pattern="/welcome*" access="ROLE_USER" />
    <form-login login-page="/login" default-target-url="/welcome"
        authentication-failure-url="/loginfailed" />
    <logout logout-success-url="/logout" />
</http>

一切正常，除了在所有成功登录时 - 用户和管理员 - 都会调用“欢迎”网址。 “adminWelcome” url 永远不会在管理员登录时调用。我错过了什么？

Answer 1

<http> 元素中的pattern 属性意味着只有 匹配该模式的请求将通过该过滤器链。

特别是登录页面的提交（通常是到/j_spring_security_check）将通过第二个链处理所有其他请求。因此它将由第二个form-login元素创建的登录过滤器处理用户登录后会被重定向到/welcome。

听起来您最好使用单个过滤器链来处理所有请求，并使用AuthenticationSuccessHandler 选择用户登录后应重定向到的位置。

更新

如果您想配置您的管理员登录页面提交到的 URL 以使登录请求通过第一个过滤器链，请使用 login-processing-url：

<http pattern="/admin/**" >
  <intercept-url pattern="/admin*" access="ROLE_ADMIN,ROLE_USER" />
  <form-login login-page="/adminLogin" login-processing-url="/admin/login.do" default-target-url="/adminWelcome"
    authentication-failure-url="/loginfailed" />
  <logout logout-success-url="/logout" />
</http>

然后修改您的管理员登录表单以提交到该 URL。