Spring3.2：根据用户角色选择视图

Question

使用spring webmvc和spring security web 3.2版，我希望根据用户角色（或用户是否经过身份验证）返回不同的视图，以便对于“/”请求，角色匿名用户（或未经身份验证的用户）获得欢迎页面，角色用户用户获得主页。

我目前的做法是使用常规控制器：

@Controller
public class WelcomeCtrl {

    @RequestMapping("/")
    public String welcome(Principal principal) {
        if (userAuthenticated(principal)) {
            return "redirect:home";
        }
        return "welcome";
    }

    private boolean userAuthenticated(Principal principal) {
        return principal != null && principal instanceof Authentication
                && hasUserRole((Authentication) principal);
    }

    private boolean hasUserRole(Authentication principal) {
        Collection<? extends GrantedAuthority> authorities = (principal)
                .getAuthorities();
        return Iterables.contains(Collections2.transform(authorities,
                new Function<GrantedAuthority, String>() {

                    @Override
                    public String apply(GrantedAuthority authority) {
                        return authority.getAuthority();
                    }
                }), "ROLE_USER");
    }

}

然而，我并不喜欢它，因为我觉得这个重定向应该用SpringSecurity来完成（我错了吗？）。您知道使用Spring Security配置实现这一点的方法吗？我当前的配置如下：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/welcome").permitAll()
                .anyRequest().authenticated()
            .and().formLogin()
                .defaultSuccessUrl("/home").permitAll()
                .and().logout().permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder authManagerBuilder)
            throws Exception {
        authManagerBuilder.inMemoryAuthentication().withUser("user")
                .password("password").roles("USER");
    }
}

Answer 1

据我所知，这是使用市场上最新的spring security配置的最佳方式。

在Spring 3.1中，对Java配置的一般支持被添加到Spring框架中。自Spring Security 3.2以来，一直有Spring SecurityJava配置支持，使用户无需使用任何XML即可轻松配置Spring Security。

如果您熟悉安全命名空间配置，那么您应该会发现它与安全Java配置支持之间有很多相似之处，您可以使用安全命名空间配置以及适合您的配置

Spring安全3.2增加了许多新的东西，你可以像这样使用

1）。Java配置--对于那些更熟悉阅读jar文件以应用配置方法的人来说更好。

2). 并发支持——在大多数环境中，安全性存储在每个线程的基础上。这意味着在新线程上完成工作时，SecurityContext将丢失。springsecurity提供了一些基础设施，帮助用户更轻松地实现这一点。SpringSecurity为在多线程环境中使用SpringSecurity提供了低级抽象。事实上，这就是Spring Security性与AsyncContext集成的基础。启动（可运行）和Spring MVC异步集成。

3). CSRF攻击：-假设您的银行网站提供了一个表单，允许将资金从当前登录的用户转移到另一个银行帐户。例如，HTTP请求可能如下所示：

POST /transfer HTTP/1.1
Host: bank.example.com
Cookie: JSESSIONID=randomid; Domain=bank.abc.com; Secure; HttpOnly
Content-Type: application/x-www-form-urlencoded

amount=100.00&routingNumber=1234&account=9876

现在假装你在银行网站上进行了身份验证，然后在没有注销的情况下，访问了一个邪恶的网站。邪恶网站包含以下形式的超文本标记语言页面：

<form action="https://bank.example.com/transfer" method="post">
  <input type="hidden"
      name="amount"
      value="100.00"/>
  <input type="hidden"
      name="account"
      value="evilsAccountNumber"/>
  <input type="submit"
      value="ohh you Win Money!"/>
</form>

你喜欢赢钱，所以点击提交按钮。在此过程中，您无意中将100美元转移给恶意用户。这是因为，尽管邪恶网站无法看到您的cookie，但与您的银行相关联的cookie仍会随请求一起发送。

这种类型的攻击可以通过使用Spring安全3.2轻松阻止，因为Spring安全中的跨站点请求伪造（CSRF）保护新功能会生成一些令牌，这些令牌在支付网关端匹配。

还有更多的优势。。。。。。。。。。。。。。。。。。。。。。