成功登录后Spring Security重定向到上一页

Question

我知道这个问题以前有人问过，但我现在面临一个特殊的问题。

我使用spring security 3.1.3。

我的web应用程序中有3种可能的登录情况：

1. 通过登录页登录：确定。
2. 通过受限页面登录：也可以。
3. 通过非受限页面登录：不确定...每个人都可以访问“产品”页面，如果用户已经登录，他可以发表评论。因此登录表单包含在同一页面中，以便允许用户进行连接。

案例3）的问题是，我无法将用户重定向到“产品”页面。他们在成功登录后会被重定向到主页，无论如何。

请注意，在情况2）中，成功登录后，重定向到受限制页面的工作是开箱即用的。

下面是我的security.xml文件的相关部分：

<!-- Authentication policy for the restricted page  -->
<http use-expressions="true" auto-config="true" pattern="/restrictedPage/**">
    <form-login login-page="/login/restrictedLogin" authentication-failure-handler-ref="authenticationFailureHandler" />
    <intercept-url pattern="/**" access="isAuthenticated()" />
</http>

<!-- Authentication policy for every page -->
<http use-expressions="true" auto-config="true">
    <form-login login-page="/login" authentication-failure-handler-ref="authenticationFailureHandler" />
    <logout logout-url="/logout" logout-success-url="/" />
</http>

我怀疑“每个页面的身份验证策略”应该为这个问题负责。但是，如果我移除它，我就不能再登录了...j_spring_security_check发送404错误。

编辑：

多亏了拉尔夫，我才找到了解决办法。事情是这样的：我用了

<property name="useReferer" value="true"/>

拉尔夫给我看的。在此之后，我遇到了一个问题1）：当通过登录页面登录时，用户停留在同一页面中（而不是像以前一样重定向到主页）。直到这个阶段的代码如下：

<!-- Authentication policy for login page -->
<http use-expressions="true" auto-config="true" pattern="/login/**">
    <form-login login-page="/login" authentication-success-handler-ref="authenticationSuccessHandlerWithoutReferer" />
</http>

<!-- Authentication policy for every page -->
<http use-expressions="true" auto-config="true">
    <form-login login-page="/login" authentication-failure-handler-ref="authenticationFailureHandler" />
    <logout logout-url="/logout" logout-success-url="/" authentication-success-handler-ref="authenticationSuccessHandler"/>
</http>

<beans:bean id="authenticationSuccessHandler" class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
    <!-- After login, return to the last visited page -->
    <beans:property name="useReferer" value="true" />
</beans:bean>

<beans:bean id="authenticationSuccessHandlerWithoutReferer" class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
    <!-- After login, stay to the same page -->
    <beans:property name="useReferer" value="false" />
</beans:bean>

至少在理论上，这应该行得通，但事实并非如此。我还是不知道为什么，所以如果有人对此有答案，我会很乐意创造一个新的话题给他分享他的解决方案。

在此期间，我找到了一个变通办法。不是最好的解决办法，但就像我说的，如果有人有更好的东西要展示，我洗耳恭听。这是登录页面的新身份验证策略：

<http use-expressions="true" auto-config="true" pattern="/login/**" >
    <intercept-url pattern="/**" access="isAnonymous()" />
    <access-denied-handler error-page="/"/>
</http>

这里的解决方案很明显：登录页面只允许匿名用户使用。一旦连接了用户，错误处理程序就会将其重定向到主页。

我做了一些测试，看起来一切正常。

Answer 1

登录（用户被重定向到哪个url）后发生的事情由authenticationSuccessHandler处理。

此接口（实现它的具体类是SavedRequestawareAuthenticationSuccessShandler)由AbstractAuthenticationProcessingFilter或方法SuccessAuthentication中的一个子类（如UsernamePasswordAuthenticationFilter)调用。

因此，在情况3中，为了进行另一重定向，您必须对SavedRequestawareAuthenticationSuccessHandler进行子类化，并使其执行您想要的操作。

有时（取决于您的确切用途），启用AbstractureTenticationTargetUrlRequestHandler的UsereFerer标志就足够了，该标志由SimpleURLAuthenticationSuccessHandler（SavedRequestawareAuthenticationSuccessHandler的超级类）调用。

<bean id="authenticationFilter"
      class="org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter">
    <property name="filterProcessesUrl" value="/login/j_spring_security_check" />
    <property name="authenticationManager" ref="authenticationManager" />
    <property name="authenticationSuccessHandler">
        <bean class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
            <property name="useReferer" value="true"/>
        </bean>
    </property>
    <property name="authenticationFailureHandler">
        <bean class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">
            <property name="defaultFailureUrl" value="/login?login_error=t" />
        </bean>
    </property>
</bean>