Spring Security：如何在公共页面中识别用户是否经过身份验证

Question

我有一个简单的Spring Boot web应用程序，由2个页面组成：

• 主页（可自由访问），网址为https://example.com/
• 在urlhttps://example.com/secure/page.html
上的安全页（需要登录才能访问）

在主页中，我打印访问用户的名字（如果他/她已经通过身份验证的话），或者显示该页面被匿名用户访问的句子。

这里是Spring Security配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
    .authorizeRequests()
    .antMatchers("/secure/**")
    .authenticated()
    .and()
    .csrf().requireCsrfProtectionMatcher(keycloakCsrfRequestMatcher())
    .and()
    .sessionManagement()
    .sessionAuthenticationStrategy(sessionAuthenticationStrategy())
    .and()
    .addFilterBefore(keycloakPreAuthActionsFilter(), LogoutFilter.class)
    .addFilterBefore(keycloakAuthenticationProcessingFilter(), BasicAuthenticationFilter.class)
    .addFilterBefore(keycloakAuthenticatedActionsFilter(), BasicAuthenticationFilter.class)
    .addFilterAfter(keycloakSecurityContextRequestFilter(), SecurityContextHolderAwareRequestFilter.class)
    .exceptionHandling().authenticationEntryPoint(authenticationEntryPoint())
    .and()
    .logout()
    .addLogoutHandler(keycloakLogoutHandler())
    .logoutUrl("/sso/logout").permitAll()
    .logoutSuccessUrl("/");
}

如果用户已经通过身份验证，问题是主页显示他是匿名的，因为主体总是null。

但是，如果用户回到家里时进入安全页面（Keycloak允许他进入，因为他已经通过了身份验证），页面就会包含--正确地--他的名字。

Answer 1

此问题的解决方案是将/**添加到安全上下文/处理中（使用permitall())。

艺术就是正确地去做：

null

所以在这种情况下：

 http
  .authorizeRequests()
  .antMatchers("/secure/**").authenticated()
  .antMatchers("/**").pernmitAll()
  .and()...

对于核心/标题问题（一旦校长被填满），我认为答案已经给出：

• 此处（口头）:https://stackoverflow.com/a/26117007/592355
• 和这里（代码）:https://stackoverflow.com/a/57054816/592355

...如果使用Spring Security(JSP)Taglibsisanonymouth()很方便，否则（默认情况下）只需检查hasrole('role_anonymouth')(Ref)