Spring Security：访问被拒绝后使用admin用户登录后转发到原始页面

Question

我使用Spring security对用户进行身份验证。如果用户请求安全页面，他必须通过登录页面进行身份验证。如果用户始终通过身份验证，他将被立即重定向到请求的页面。而且有些页面需要特殊的访问权限，所以我临时设置了一个拒绝访问的页面。到目前为止还不错。

场景：场景定义用户将获得一个登录表单，而不是一个静态的拒绝访问页面，这样不同的用户可以进行身份验证，如果验证成功，需要更高权限的请求页面将打开。

spring的实际配置如下：

<security:http auto-config="true" use-expressions="true" disable-url-rewriting="true">
    <security:intercept-url pattern="/index.jsp" access="permitAll" />
    <security:intercept-url pattern="/loginView" access="permitAll" />
    <security:intercept-url pattern="/accessDenied" access="permitAll"/>
    <security:intercept-url pattern="/user" access="hasRole('ROLE_USER')" />
    <security:intercept-url pattern="/admin" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/**" access="denyAll"/>

    <security:form-login login-page="/loginView"
        authentication-failure-url="/loginView"
        default-target-url="/dirView" />

    <security:logout />
    <security:access-denied-handler ref="accessDeniedHandler" />
</security:http>

accessDeniedHandler-bean：

public class AccessDeniedServletRequestHandler implements AccessDeniedHandler {

/** {@inheritDoc} */
@Override
public void handle(HttpServletRequest req, HttpServletResponse resp,
        AccessDeniedException accessDeniedException) throws IOException,
        ServletException {

    RequestDispatcher d = req.getRequestDispatcher("/loginView");
    d.forward(req, resp);
}
}

但AccessDeniedHandler的实现仅转发到LoginView。对管理员进行身份验证后，默认的success-page是opend，而不是最初请求的page。我还试图通过调用HttpServletRequest#getAttribute（“javax.servlet.forward.servlet_path”）来保存原始请求，但我不明白如何强制spring security使用那个原始请求而不是默认的目标URL。

此外，我还读过关于org.springframework.security.web.SavedRequest.SavedRequest的文章，它在spring身份验证中用于在未经身份验证的用户请求页面时记住原始请求。但是我没有找到一种有效的方法，如何以相同的方式使用SavedRequest来解决访问被拒绝的情况。

提前感谢您的建议和解决方案。

Answer 1

我认为应该通过使用requestcacheAPI来满足您的需求。

如果修改HTTP配置，则可以使用request-cache命名空间元素：

<security:http>
    ...
    <security:request-cache ref="requestCache"
</security:http>

<bean id="requestCache" class="org.springframework.security.web.savedrequest.HttpSessionRequestCache" />

您还可以将其注入到AccessDeniedHandler中。那么您所需要的只是一个简单的tosaverequest来设置缓存的请求,该请求应该在身份验证后恢复：

public class AccessDeniedServletRequestHandler implements AccessDeniedHandler {
    // Inject this into your class.
    private RequestCache requestCache;

    @Override
    public void handle(HttpServletRequest req, HttpServletResponse resp,
            AccessDeniedException accessDeniedException) throws IOException, ServletException {
        requestCache.saveRequest(req, resp);

        RequestDispatcher d = req.getRequestDispatcher("/loginView");
        d.forward(req, resp);
    }
}