Spring Securityjsp授权标记不工作

Question

我有以下Spring Security配置：

<security:http auto-config="true">  
    <security:intercept-url pattern="/**" access="permitAll" />
    <security:form-login 
        login-processing-url="/j_spring_security_check"
        login-page="/login" 
        default-target-url="/" 
        authentication-failure-url="/login?error"
        username-parameter="login"
        password-parameter="password" />  
    <security:logout logout-url="/j_spring_security_logout" logout-success-url="/login" />
    <security:csrf disabled="true"/>
</security:http>

我想让每个人（包括经过身份验证的用户和未经身份验证的用户）都可以访问特定的页面（比如索引页面（“/”），但同时，能够根据用户是否经过身份验证以及其角色来管理应该在jsp中看到哪些部分。

我的jsp部分如下所示：

<%@ page contentType="text/html" pageEncoding="UTF-8"%>
<%@ taglib prefix="spring" uri="http://www.springframework.org/tags"%>
<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form"%>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>
<%@ taglib prefix="t" tagdir="/WEB-INF/tags" %>

<t:main>
    <jsp:attribute name="title">
        Posts
    </jsp:attribute>
    <jsp:body>
        <sec:authorize access="hasRole('ADMIN')">
            <a href="/blog/createPost">Create post</a>
        </sec:authorize>

        <br>

        <c:forEach var="post" items="${posts}">
            <hr width="300" align="left">
            <div>
                <h4><a href="/blog/viewPost/${post.id}">${post.title}</a></h4>
                <div>${post.content}</div>
            </div>
        </c:forEach>
    </jsp:body>
</t:main>

所有的认证机制都可以正常工作。问题是，即使我使用“管理员”角色登录，链接也永远不会显示。

我尝试调试我的userdetails服务实现，并验证“ADMIN”角色已成功获取并填充到userdetails中：

@Override
public UserDetails loadUserByUsername(String login) throws UsernameNotFoundException {
    User user = userDao.findOneByLogin(login);

    if (user == null) {
        throw new UsernameNotFoundException(login + " not found");
    }

    List<GrantedAuthority> authList = new ArrayList<>();
    List<Role> roles = user.getRoles();

    for (Role role : roles) {
        authList.add(new SimpleGrantedAuthority(role.getName()));
    }

    return new org.springframework.security.core.userdetails.User(
            user.getLogin(), user.getPassword(), authList);
}

提前谢谢！

Answer 1

您的问题似乎在配置中。要使用hasRole，hasAnyRole表达式，需要在security:http标记中设置use expressions=“true”。

<security:http auto-config="true" use-expressions="true">  

否则，您必须直接在安全标签中使用角色名称，

<sec:authorize access="ADMIN">
    <a href="/blog/createPost">Create post</a>
</sec:authorize>

Answer 2

经过几个小时的搜索和阅读Spring Security 4文档，终于，我意识到问题的原因。

以下是来自spring docs的一些信息：

hasRole（[角色]）

如果当前主体具有指定的角色，则返回true。默认情况下，如果提供的角色不是以ROLE_开头，则将添加该角色。这可以通过修改DefaultWebSecurityExpressionHandler上的defaultRolePrefix来自定义。

##############################################################################################

如果当前主体具有指定的权限，则返回true。

因此，根据上面的陈述，我们可以得出结论，在默认情况下，Spring Security 4希望您的所有“角色”都以“角色”前缀开头，而其他所有角色都被威胁为简单的权限/权限。

在我的例子中，我在数据库中保存了“ADMIN”角色，每当我尝试检查像hasRole（'ADMIN'）Spring这样的角色时，我都会将其转换为hasRole（'role_ADMIN'），从而将这个表达式计算为false。

这里有两种修复方法，要么我在数据库中将我的“ADMIN”角色重命名为“role_ADMIN”（正如Spring所期望的那样），要么使用hasAuthority（'ADMIN'）表达式。