Spring-security 不起作用，需要帮助了解原因

Question

我正在尝试了解 Spring-security，但无需登录即可访问我的页面，我不明白为什么。

“安全”页面位于 WEB-INF/pages/secure 中，可使用http://localhost:8080/secret 访问。这应该不允许访问，但目前允许。

/在此处保护地图

@Controller
public class HelloWorld {

    ...

    @RequestMapping("/secret")
    public String showSecret(ModelMap model) {
        return "secure/secretPage";
    }

}

web.xml

...
<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>
        /WEB-INF/applicationContext-security.xml
        /WEB-INF/springmvc-config.xml
    </param-value>
</context-param>
...

applicationContext-security.xml

<http auto-config="true">
    <form-login login-processing-url="/j_spring_security_check"
    login-page="/login"
    authentication-failure-url="/login?login_error=t"/>
    <logout logout-url="/j_spring_security_logout"/>
    <intercept-url pattern="/pages/secure/**" access="IS_AUTHENTICATED_FULLY" requires-channel="https"/>
    <intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
</http>

<authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="userAccountDetailsService"/>
</authentication-manager>

userAccountDetailsS​​ervice

@Service("userAccountDetailsService") // enables component to be found to <component-scan/>
public class UserAccountDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        throw new UsernameNotFoundException("Could not find user");
    }

}

/login 页面当前不存在。反正没有用户。我只想暂时禁止访问。

Answer 1

您访问的 URL 是 /secure，而不是 /pages/secure，但在您的 Spring Security 配置中，您保护的是 /pages/secure/** 而不是 /secure/**。将拦截 URL 从/pages/secure/** 更改为/secure/**，然后重试。