Spring security未授权用户

Question

我是Spring Security的新手，我正在开发一个需要使用Spring Security 3.2进行身份验证和授权的web应用，身份验证部分工作正常，但授权不正常。下面是我的Spring Security配置xml片段。

<authentication-manager>
    <authentication-provider>
        <password-encoder ref="encoder" />
        <jdbc-user-service data-source-ref="myDataSource"
            users-by-username-query=" SELECT email_address as username , password, enabled FROM users WHERE email_address = ?   "
            authorities-by-username-query=" SELECT u.email_address as username , 
                                            r.role_name FROM users u
                                            INNER JOIN user_roles ur
                                            ON ur.user_id = u.user_id
                                            INNER JOIN roles r
                                            ON r.role_id = ur.role_id
                                            WHERE u.email_address = ? "/>
    </authentication-provider>
</authentication-manager>

<beans:bean id="encoder"
    class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder">
    <beans:constructor-arg name="strength" value="11" />
</beans:bean>

<http pattern="/resources/**" security="none" />

<http auto-config="true" use-expressions="true" create-session="ifRequired">

    <form-login login-page="/" default-target-url="/admin/dashboard"
        authentication-failure-url="/login-error" always-use-default-target="true" />

    <!-- Security zones -->
    <intercept-url pattern="/" access="isAnonymous()" />
    <intercept-url pattern="/admin*" access="hasRole('ROLE_ADMIN')" />

    <session-management invalid-session-url="/"
        session-fixation-protection="newSession">
        <concurrency-control max-sessions="1"
            error-if-maximum-exceeded="true" />
    </session-management>

    <logout logout-success-url="/" delete-cookies="JSESSIONID"
        invalidate-session="true" />

    <access-denied-handler error-page="/403" />
</http>

使用此配置，除了授权之外，其他一切都可以正常工作。我有两个用户，即[e-mail]（角色=管理员）和[e-mail]（role=USER），但是当我尝试使用[e-mail]然后，我还可以查看不应该出现的管理/仪表板页面。

我也参考了很多教程和spring doc，但没有找到确切的问题。请帮忙。

Answer 1

将模式更改为"/admin/*"

<代码>

您的默认目标url="/admin/dashboard"似乎令人困惑，因为每个用户登录后都会重定向到 /admin/dashboard。使用[e-mail]登录时，可能会收到超文本传输协议未授权响应。