Spring Security不断将我重定向到登录页面

Question

我在地址栏中输入的任何链接都会将我重定向到登录页面。我该怎么防止呢？

例如如果我加上http://localhost:8080/asdasdsa

我的安全配置：

package com.example.configuration;

import javax.sql.DataSource;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    private BCryptPasswordEncoder bCryptPasswordEncoder;

    @Autowired
    private DataSource dataSource;

    @Value("${spring.queries.users-query}")
    private String usersQuery;

    @Value("${spring.queries.roles-query}")
    private String rolesQuery;

    @Override
    protected void configure(AuthenticationManagerBuilder auth)
            throws Exception {
        auth
            .jdbcAuthentication()
                .usersByUsernameQuery(usersQuery)
                .authoritiesByUsernameQuery(rolesQuery)
                .dataSource(dataSource)
                .passwordEncoder(bCryptPasswordEncoder);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http
            .authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/index").permitAll()
                .antMatchers("/other/other").permitAll()
                .antMatchers("/account/login").permitAll()
                .antMatchers("/account/registration").permitAll()
                .antMatchers("/account/admin/**").hasAuthority("ADMIN")
                .anyRequest().authenticated()
                .and()
            .csrf().disable()
            .formLogin()
                .loginPage("/account/login")
                .failureUrl("/account/login?error=true")
                .defaultSuccessUrl("/account/admin/")
                .usernameParameter("email")
                .passwordParameter("password")
                .and()
            .logout().permitAll()
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessUrl("/")
                .and()
            .exceptionHandling()
                .accessDeniedPage("/access-denied");
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web
           .ignoring()
               .antMatchers("/resources/**", "/static/**", "/css/**", "/js/**", "/images/**", "/img/**");
    }
}

Answer 1

这里有一个解决办法！

// Required to provide UserDetailsService for "remember functionality"
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication().withUser("user").password("{noop}password").roles("USER");
}

将上述代码段添加到安全配置类中，添加pom中定义的相同用户名和密码。这里也是xml。（不移除“{noop}”部分）

所以下次登录时，不要忘记点击“记住我”复选框，否则问题会不断重复。

有关更多详细信息，请参阅本文。

Answer 2

尝试使用127.0.0.1而不是localhost。

解释

您的浏览器没有为localhost设置JSESSIONIDcookie（请参阅此SO问题），因此在成功登录后重定向时，下一个请求看起来没有通过服务器身份验证。

如果你使用idea，你打开浏览器点击服务面板，你可以在你的application-dev.yml中添加这个配置来解决这个问题：

server:
  address: 127.0.0.1

Answer 3

您配置所有其他URL都必须经过身份验证，请参阅Spring Security参考：

授权请求

我们的示例只要求用户进行身份验证，并且对应用程序中的每个URL都这样做。我们可以通过向http添加多个子元素来指定URL的自定义要求。authorizeRequests（）方法。例如：

protected void configure(HttpSecurity http) throws Exception {
  http
      .authorizeRequests()                                                          1
          .antMatchers("/resources/**", "/signup", "/about").permitAll()            2
          .antMatchers("/admin/**").hasRole("ADMIN")                                3
          .antMatchers("/db/**").access("hasRole('ADMIN') and hasRole('DBA')")      4
          .anyRequest().authenticated()                                             5
          .and()
      // ...
      .formLogin();
}

1 http有多个子项。authorizeRequests（）方法按照声明的顺序考虑每个匹配器。

2我们指定了任何用户都可以访问的多个URL模式。具体来说，如果URL以“/Resources/”开头、等于“/signup”或等于“/about”，则任何用户都可以访问请求。

3任何以“/admin/”开头的URL将仅限于具有“role_admin”角色的用户。您会注意到，由于我们调用的是hasRole方法，所以不需要指定“ROLE_u2;”前缀。

4任何以“/db/”开头的URL都要求用户同时拥有“ROLE_ADMIN”和“ROLE_DBA”。您会注意到，因为我们使用的是hasRole表达式，所以不需要指定“ROLE_u2;”前缀。

5任何尚未匹配的URL只需要对用户进行身份验证