Spring安全中的多重蚁群

Question

http.authorizeRequests()
        .antMatchers("/", "/*.html").permitAll()
        .antMatchers("/user/**").hasRole("USER")
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/admin/login").permitAll()
        .antMatchers("/user/login").permitAll()
        .anyRequest().authenticated()
        .and()
        .csrf().disable();

代码似乎工作正常，除了管理部分-它不工作，但返回访问被拒绝异常。

Answer 1

我相信问题出在你的规则上：

.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/admin/login").permitAll()

规则的顺序很重要，更具体的规则应该放在第一位。现在，以/ADMIN开头的所有内容都需要具有管理员角色的经过身份验证的用户，甚至/ADMIN/login路径也是如此（因为/ADMIN/**规则已经匹配了/ADMIN/**规则，因此忽略了第二个规则）。

因此，登录页面的规则应该在/admin/**规则之前。例如。

.antMatchers("/admin/login").permitAll()
.antMatchers("/admin/**").hasRole("ADMIN")