Spring security -指定顺序时多个httpsecurity不起作用[重复]

Question

我已按照以下说明为管理员和用户创建两个不同的http安全块。docs.spring.io/spring-security-multiple-httpsecurity

正如文档所说，如果URL不是以/aaa开头，将使用另一个配置来进行模式化。

但当我将@Order（1）放在管理块时，管理页面工作正常，用户页面不会重定向到登录页面/login/user

当我把@Order（1）放在用户块，用户页面工作正常时，管理页面也不会重定向到登录页面/登录/管理员。

这是我的Java代码

@EnableWebSecurity
public class MultiHttpSecurityConfig {

    /**
     * intercept user url
     */
    @Configuration
    @Order(1)
    public static class UserWebSecurityConfig extends WebSecurityConfigurerAdapter {
        @Autowired
        CustomAuthenticationSuccessHandler successHandler;

        @Autowired
        CustomAuthenticationFailureHandler failureHandler;

        @Autowired
        private CustomAuthenticationProvider customAuthProvider;

        @Autowired
        private CustomUserDetailsService userDetailsService;

        @Value("${my.cookie.timeout}")
        private int cookieTimeOut;


        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable();
            http.authorizeRequests()
                .antMatchers("/css/**", "/js/**", "/images/**, /fonts/**").permitAll()
                .antMatchers("/bbb/**","/aaaa/**").hasAnyRole("USER");
            http.formLogin()
                .successHandler(successHandler)
                .failureHandler(failureHandler)
                .loginPage("/login/user").permitAll();
            http.logout().permitAll();

            http.rememberMe().key("uniqueAndSecret").tokenValiditySeconds(cookieTimeOut);
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(customAuthProvider);
            auth.userDetailsService(userDetailsService);
        }
    }


    /**
     * intercept admin url
     */
    @Configuration
    public static class AdminWebSecurityConfig extends WebSecurityConfigurerAdapter {
        @Autowired
        CustomAuthenticationSuccessHandler successHandler;

        @Autowired
        CustomAuthenticationFailureHandler failureHandler;

        @Value("${my.cookie.timeout}")
        private int cookieTimeOut;

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable();
            http.authorizeRequests()
                .antMatchers("/css/**", "/js/**", "/images/**, /fonts/**").permitAll()
                .antMatchers("/ccc/**","/dddd").hasAnyRole("ADMIN");
            http.formLogin()
                .successHandler(successHandler)
                .failureHandler(failureHandler)
                .loginPage("/login/admin").permitAll();
            http.logout().permitAll();

            http.rememberMe().key("uniqueAndSecret").tokenValiditySeconds(cookieTimeOut);
        }

        @Autowired
        public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
                .withUser("test").password("test").roles("ADMIN");
        }
    }
}

正如dur下面所说，关键原因是授权请求（）方法匹配订单（1）中的所有网址，所以我首先需要在授权请求（）之前添加antMatcher（"/bbb/*")** 。

但antMatcher（）只匹配一种url，如果我还有一种url要匹配，例如“/bb/”、“/aaa/*”，如何实现这一点？然后我需要再添加一个WebSecurityConfigurerAdapter配置？有没有更好的方法来减少代码？

我在spring-security SDK request estMatcher（）方法中找到了解决方案，它提供了一个示例在request estMatcher（）方法之上。

下面是我在Order（1）中匹配用户URL的代码

http.csrf().disable();
            http.requestMatchers()
                .antMatchers("/bbb/**", "/aaa/**")
                .and()
                .authorizeRequests()
                .antMatchers("/**").hasAnyRole("USER");
            http.formLogin()
                .successHandler(successHandler)
                .failureHandler(failureHandler)
                .loginPage("/login/user").permitAll();
            http.logout().permitAll();

然后bbb和aaa都已匹配，不需要创建其他配置

但另一个问题发生了，它会显示“405方法不允许”时，张贴用户名和密码登录/用户界面在用户登录页面，而管理页面工作正常

我已经搜索了谷歌，它告诉禁用csrf，但我已经禁用csrf...

Answer 1

在我的一个项目中，我没有使用表单登录，而是实现了一个自定义的AccessDeniedHandler和AuthenticationEntryPoint，它们可以使用一些我需要的自定义逻辑重定向到不同的登录页面。不过loginPage()最后也是一个AuthenticationEntryPoint。

它们可以通过以下方式添加：

.exceptionHandling().authenticationEntryPoint(new YourCustomAuthEntryHandler()).and()
.exceptionHandling().accessDeniedHandler(new YourCustomAccessDeniedHandler())

这只是一个想法，也许值得检查一下。

此外，我认为您将需要对所有请求进行身份验证，在 authorizeRequests（） 块中为两个配置添加此行：

.anyRequest().authenticated()