Spring安全中的多个antMatchers

【问题标题】：Multiple antMatchers in Spring securitySpring安全中的多个antMatchers
【发布时间】：2015-08-29 10:10:27
【问题描述】：

我在内容管理系统上工作，它有五个 antMatchers，如下所示：

http.authorizeRequests()
        .antMatchers("/", "/*.html").permitAll()
        .antMatchers("/user/**").hasRole("USER")
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/admin/login").permitAll()
        .antMatchers("/user/login").permitAll()
        .anyRequest().authenticated()
        .and()
        .csrf().disable();

假设访问者可以看到根路径下的所有站点（/ *），并且用户只能看到（/user），admin只能看到（/admin），并且有两个登录页面一个供用户使用另一个用于管理员。

代码似乎工作正常，除了管理部分 - 它不起作用但返回访问被拒绝异常。

【问题讨论】：

标签： spring spring-mvc spring-security

【解决方案1】：

我认为问题出在您的规则的顺序上：

.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/admin/login").permitAll()

规则的顺序很重要，更具体的规则应该放在第一位。现在以/admin 开头的所有内容都需要经过身份验证的具有ADMIN 角色的用户，即使/admin/login 路径也是如此（因为/admin/login 已经与/admin/** 规则匹配，因此第二条规则将被忽略）。

因此，登录页面的规则应位于/admin/** 规则之前。例如

.antMatchers("/admin/login").permitAll()
.antMatchers("/admin/**").hasRole("ADMIN")

【讨论】：