JSF-春季安全集成问题

Question

Servlet 2.4+ API允许我们在<dispatcher>标记中使用<filter- mapping>标记，其值类似于FORWARD拦截内部转发到其他资源的请求。对于一个servlet转发到另一个servlet而言，spring安全约束可以正常工作。

<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>FORWARD</dispatcher>
    <dispatcher>REQUEST</dispatcher>
</filter-mapping>

问题：* 安全过滤器似乎没有通过 JSF Action 拦截内部转发 *

当使用JSF操作（导航用例）时，JSF似乎将请求“转发”到目标视图（页面）。这导致该URL比该页面的实际URL落后一步。

这样做的副作用是，弹簧安全性约束（绑定到URL）在下一个动作之前不会生效。

示例： 当前页面URL：http：//host/myapp/page1.xhtml
（page1.xhtml具有导航到受保护的page2的操作）

提交后，请求将提交到呈现page2.xhtml的服务器，但URL仍为http：//host/myapp/page1.xhtml。Spring
Security不会拦截和保护page2.xhtml

通过指定以下内容可以解决此问题：

<navigation-case>
    <from-outcome>page2</from-outcome>
    <to-view-id>/page2.xhtml</to-view-id>
    <redirect/> <!--REDIRECT, INSTEAD OF FORWARD-->
</navigation-case>

重定向不是我们要实现这一目标的方法。 是否有更好的方法让Spring Security与JSF一起使用？

编辑： （spring config xml的相关片段）

<http use-expressions="true" once-per-request="false">
    <intercept-url pattern="/index.xhtml" access="permitAll" />
    <intercept-url pattern="/page1.xhtml" access="isAuthenticated()" />
    <intercept-url pattern="/page2.xhtml" access="hasRole('supervisor')" />
    <intercept-url pattern="/page3.xhtml" access="hasRole('teller')" />
    <form-login  login-page="/login.html" default-target-url="/page1.xhtml"/>
</http>

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="rod" password="rod" authorities="supervisor,  user" />
            <user name="dianne" password="dianne" authorities="teller, user" />
            <user name="scott" password="scott" authorities="supervisor" />
            <user name="peter" password="peter" authorities="user" />
        </user-service>
    </authentication-provider>
</authentication-manager>

Answer 1

从马口说起
（Oracle文档）

如果导航用例不使用redirect元素， 则将新页面呈现为对当前请求的响应
，这意味着浏览器的address字段中的URL不会更改，并且它将包含上一页的地址。

这似乎意味着在JSF生命周期中没有“前进”发生到下一页……因此Spring Security将永远无法解决这个问题。