Spring Security-注销和访问控制不工作

Question

我的spring配置xml文件中有这个。

<http auto-config="true" use-expressions="true">

    <intercept-url pattern="/welcome/*" access="hasRole('ADMIN')" />

    <!-- <intercept-url pattern="/login" requires-channel="https" /> -->

    <!-- access denied page -->
    <access-denied-handler error-page="/403" />

    <form-login login-page="/login" 
        default-target-url="/welcome"
        authentication-failure-url="/login?error" 
        username-parameter="emailId"
        password-parameter="pwd" />
    <logout logout-success-url="/login?logout"/>
</http>

角色在登录时已正确验证。我有两个问题：

>

<c:url value="/logout" var="logoutUrl" />
<form action="${logoutUrl}" method="GET" id="logoutForm">
    <input type="hidden" name="${_csrf.parameterName}"
    value="${_csrf.token}" />
</form>
<script>
function formSubmit() {
document.getElementById("logoutForm").submit();
}
</script>

<c:if test="${pageContext.request.userPrincipal.name != null}">
    <h2>
    User : ${pageContext.request.userPrincipal.name} | <a
    href="javascript:formSubmit()"> Logout</a>
    </h2>
</c:if>

在我的控制器中：

@RequestMapping(value = "/logout", method = RequestMethod.GET)
public String logoutPage(HttpServletRequest request,     HttpServletResponse response) {
    Authentication auth =     SecurityContextHolder.getContext().getAuthentication();
    if (auth != null) {
        new SecurityContextLogoutHandler().logout(request, response, auth);
    }
    return "redirect:/login?logout";
}

页面正确重定向并显示“注销成功”页面，但如果我再次将URL更改为转到“/欢迎”，它将显示该页面。它不应该显示403-拒绝访问页面吗？

Answer 1

使用前面提到的Ant风格语法的主要作用是解析哪些路径是有效的。

映射使用以下规则匹配URL：

• 匹配一个字符

关于您的案件：

• /welcome/*-这可能适用于/welcome/hello或/welcome/#hello，/welcome/？abc=123
• /welcome*-有效吗/welcome？abc=123，/欢迎#abc=123
• /welcome/**-有效的案例是/welcome/hello/bye？abc=123

关于这方面的更多信息可以在Spring文档中找到。

我假设您正在使用xml配置来实现安全性。无论如何，这可以修改为纯Java配置的使用。

在app-security.xml应该是这样的：

<http use-expressions="true"
      disable-url-rewriting="true">

    <http-basic />

    <!-- other configurations -->

    <intercept-url pattern="/login**" access="isAnonymous()"/>
    <intercept-url pattern="/**" access="isAuthenticated()"/>

    <!-- other configurations -->
    <logout logout-url="/logout"
            logout-success-url="/login"/>
</http>

在索引的某个地方。html文件：

<a href="<c:url value="/logout" />" id="item-btn-logout">
    <i class="icon-off"></i> Logout
</a>

最重要的部分是URL:/logout。