Apache重定向到带有Spring Security的Tomcat应用程序

Question

我有一个由Tomcat提供服务的java应用程序（即http://111.222.333.444:8080/myapp)。我的客户希望这个应用程序响应一个友好的域（即http://client.example.com）。我不太擅长Apache或Tomcat，但我将Apache配置成这样来执行重定向：

<VirtualHost 111.222.333.444:80>
    ServerName client.example.com
    ProxyRequests Off
    ProxyPreserveHost On
    <Proxy *>
        Order deny,allow
        Allow from all
    </Proxy>
    ProxyPass / http://111.222.333.444:8080/myApp/
    ProxyPassReverse / http://111.222.333.444:8080/myApp/
    ProxyPassReverseCookieDomain 111.222.333.444 client.example.com

    ProxyPass /login.html http://111.222.333.444:8080/login.html
    ProxyPassReverse /login.html http://111.222.333.444:8080/login.html
</VirtualHost>

这对于为http://client.example.com下的应用程序提供服务非常有效。但是，我有一个使用Spring Security实现的登录页面。从http://111.222.333.444:8080/myapp/login.html访问时，该登录可以正常工作。但是，当我从http://client.example.com/login.html访问它并输入有效的用户名和密码时，它只是再次加载登录页面，没有错误。

我的WebSecurityConfigurerAdapter如下所示。如果不将绝对URL传递给loginPage（）,我甚至无法让它正确加载登录页面。

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/resources/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.authorizeRequests()
                .antMatchers("/admin/**")
                .hasRole("ADMIN")
                .and()
                .formLogin()
                .loginPage("http://client.example.com/login.html")
                .and()
                .logout()
                .logoutSuccessUrl("/");
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("admin").password("admin").roles("ADMIN");
    }
}

我的登录页面如下所示：

<form name="f" method="post" action="/login.html">               
    <fieldset>
        <legend>Please Login</legend>           
        <label for="username">User</label>
        <select id="username" name="username">
            <option value="-1"></option>
            <option value="admin">admin</option>
        </select>           
        <label for="password">Password</label>
        <input type="password" id="password" name="password"/>
        <div>
            <button type="submit" role="button"><span>Login</span></button>
        </div>
    </fieldset>
</form>

所以当我访问http://client.example.com/admin/test.html时，我被正确地重定向到http://client.example.com/login.html。但是当我尝试用“admin”/“admin”登录时，它只是在http://client.example.com/login.html再次加载登录页面，没有任何错误。apache日志、tomcat日志和应用程序日志没有告诉我任何有用的信息。

我认为这与Apache代理在Spring Security中的性能不好有关，因为它在直接访问Tomcat应用程序时可以正常工作，但我不确定。

1. 如何让Apache/Spring Security性正确处理登录？我希望应用程序能够识别我已登录，并指示我进入我试图访问的管理页面。
2. 有没有一种方法可以在不使用WebSecurityConfigurerAdapter中的绝对URL的情况下使登录页正常工作？

Apache版本:Apache/2.2.31(Unix)
Spring Security版本:3.2.6.Release
Tomcat版本:Apache Tomcat/7.0.42
Java版本：Java 1.7

Answer 1

我认为您的登录表单操作不应该指向您的登录页面URL，而是

/j_spring_security_check

UsernamePasswordAuthenticationFilter正在寻找它来模拟身份验证过程。如果您不想使用/j_spring_security_check，可以通过在FormLoginConfigurer上设置调用loginProcessingUrl方法，通知UsernamePasswordAuthenticationFilter查找另一个URL：

formlogin()
    .loginProcessingUrl('/custom_login_url')
    .loginPage("http://client.domain.com/login.html")