登录
当前位置： 首页 > 知识库问答 >
问题：

Spring security始终返回HTTP 403

汪兴为
2023-03-14

我已经配置了一个自定义过滤器，它为除登录之外的每个URL授予spring权限：

public class TokenFilter implements Filter {
     @Override
     public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
          GrantedAuthority authority = new SimpleGrantedAuthority("myAuthority");
          UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(user, token, Arrays.asList(authority));
          SecurityContextHolder.getContext().setAuthentication(auth);
      }
}

和一个spring配置，该配置使用该权限保护所有请求（但不包括登录）：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .authorizeRequests()
                .antMatchers("/login").permitAll()
                .anyRequest().hasAuthority("myAuthority");
    }

}

但是，除了登录之外，每个请求都会得到HTTP 403禁止。

我已经调试并确保过滤器中的代码确实被触发。

有什么问题吗？

编辑-当将Spring Security日志放入调试时，我得到以下堆栈跟踪：

2015-07-31 14:52:42 [http-nio-8002-exec-2] DEBUG o.s.s.w.a.ExceptionTranslationFilter - Access is denied (user is anonymous); redirecting to authentication entry point
org.springframework.security.access.AccessDeniedException: Accès refusé
    at org.springframework.security.access.vote.AffirmativeBased.decide(AffirmativeBased.java:83) ~[spring-security-core-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.access.intercept.AbstractSecurityInterceptor.beforeInvocation(AbstractSecurityInterceptor.java:206) ~[spring-security-core-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.access.intercept.FilterSecurityInterceptor.invoke(FilterSecurityInterceptor.java:115) ~[spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.access.intercept.FilterSecurityInterceptor.doFilter(FilterSecurityInterceptor.java:84) ~[spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.access.ExceptionTranslationFilter.doFilter(ExceptionTranslationFilter.java:113) ~[spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.session.SessionManagementFilter.doFilter(SessionManagementFilter.java:103) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.authentication.AnonymousAuthenticationFilter.doFilter(AnonymousAuthenticationFilter.java:113) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter.doFilter(SecurityContextHolderAwareRequestFilter.java:154) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.savedrequest.RequestCacheAwareFilter.doFilter(RequestCacheAwareFilter.java:45) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.authentication.logout.LogoutFilter.doFilter(LogoutFilter.java:110) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.header.HeaderWriterFilter.doFilterInternal(HeaderWriterFilter.java:57) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:107) [spring-web-4.0.6.RELEASE.jar:4.0.6.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.context.SecurityContextPersistenceFilter.doFilter(SecurityContextPersistenceFilter.java:87) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter.doFilterInternal(WebAsyncManagerIntegrationFilter.java:50) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:107) [spring-web-4.0.6.RELEASE.jar:4.0.6.RELEASE]
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:342) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy.doFilterInternal(FilterChainProxy.java:192) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:160) [spring-security-web-3.2.4.RELEASE.jar:3.2.4.RELEASE]
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:241) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:208) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at com.kgwebapps.tonpronostic.security.TokenFilter.doFilter(TokenFilter.java:55) [classes/:na]
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:241) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:208) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:220) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:122) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:501) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.valves.RemoteIpValve.invoke(RemoteIpValve.java:683) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:171) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:102) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:116) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:408) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.coyote.http11.AbstractHttp11Processor.process(AbstractHttp11Processor.java:1040) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.coyote.AbstractProtocol$AbstractConnectionHandler.process(AbstractProtocol.java:607) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1720) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.run(NioEndpoint.java:1679) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1142) [na:1.8.0_40]
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:617) [na:1.8.0_40]
    at org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61) [tomcat-embed-core-7.0.54.jar:7.0.54]
    at java.lang.Thread.run(Thread.java:745) [na:1.8.0_40]

共有3个答案

孔俊爽
2023-03-14

可能导致403出现的唯一（明显）情况是，用户角色未设置为role\u myAuthority。

江礼骞
2023-03-14

正如其他人所说，403意味着用户已登录但没有查看资源的正确权限；我会检查以下内容：

>

  • 您的控件具有正确的受保护的角色权限（{“role\u myAuthority”}）
  • 您实际上已经授予了正确的权限，即新的SimpleGrantedAuthority（“ROLE\u myAuthority”）
  • UsernamePasswordAuthenticationToken对象实际授予的权限

  • 过滤器已正确注入

    Authentication auth = new UsernamePasswordAuthenticationToken(username, authentication.getCredentials(), authorities);  
Collection<? extends GrantedAuthority> auths = auth.getAuthorities();`

Iterator authsIterator = auths.iterator();

while (authsIterator.hasNext()) {
     SimpleGrantedAuthority sga =  (SimpleGrantedAuthority) authsIterator.next();
        sga.getAuthority();
    // ... 
}

    • 颛孙航
    2023-03-14

    我也有同样的问题，除了[/]请求之外，每个请求都会被403错误阻止。在经历了一段时间的疯狂之后，我找到了根本原因，那就是【csrf】
    那么我的安全配置如下所示：

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/delete/**").authenticated().and().httpBasic().and().csrf().disable();
}

    此配置说明：只应授权[删除/**]
    我将[删除]操作标记如下：

    @PreAuthorize("hasRole('ROLE_ADMIN')")
void delete(String id);

    希望能帮助别人。

     类似资料：
    • MediaPlayer.create（）始终返回null

      问题内容： 我以前使用过媒体播放器，但从未遇到过此问题。每当我尝试使用MediaPlayer.create（）时，该方法都会使我为null，并且无法播放声音。有什么我想念的吗？ 我的sound.mp3在我的原始文件夹中，通过将声音拖到eclipse中的文件夹中，我将其放置在其中。请帮忙，因为我以前玩过声音，所以这真的困扰我:( 问题答案： 如果create（） API由于某种原因失败，则返回nul

    • NSClassFromString（）始终返回nil

      问题内容： 尽管是有效的类，但以下代码会打印。 文档说方法返回 由 aClassName 命名的类对象，或者如果当前没有加载该名称的类。如果 aClassName 为，则返回。 我也试图获得当前的viewcontroller已加载但仍然得到 可能是什么问题？ 更新： 即使尝试这样做，我仍然可以 问题答案： 该函数 确实 适用于（纯和Objective-C派生的）swift类，但是仅当您使用全限定名

    • Re.match（）始终不返回

      问题内容： 我觉得有点愚蠢，但它不起作用： 我有如果给定的用户是unicode。如果字符串中包含或，我想打印成功，但是我总是得到的结果。 问题答案： 隐式锚定到字符串的开头。如果要在字符串中搜索可以在字符串中任何位置的子字符串，则需要使用： 输出： 另外，Python Regexes不需要在开头和结尾都有一个。 最后，我添加到该行的末尾，因为我认为这就是您想要的。否则，您会得到类似的信息，但并不太

    • hasRole始终返回403

      我的安全配置似乎不正确。无论我在使用hasRole时做什么，我的endpoint总是返回403。 此外，除非我在这两个和。很明显，我遗漏了一些东西。 基本上，我希望所有内容都需要身份验证，但只有当用户是某些组的成员时（现在只需要admin），少数endpoint才可以访问。 我的安全配置如下。旁边的一切都有效。 我的AuthenticationConfiguration如下 我的Authoriza

    • NSKeyedUnarchiver始终返回nil

      我正在尝试使用NSKeyDarchiver在应用程序关闭和运行周期之间存储数据。我试图存储的根对象是一个NSMutableArray，但在这个对象中有基础对象和自定义对象的集合（所有这些都符合NSCoding）。 文件保存代码如下 该文件保存fine并且不会抛出异常。再次启动应用程序时，使用以下代码恢复该文件。 在这一点上，sessionData总是为零，而pData是几千字节长的，因此我知道问题

    • GlobalExceptionHandler始终返回500

      我有以下异常处理程序： 此代码应该包装异常并返回具有正确状态代码的ResponseEntity。

    • FtpClient storeFile始终返回False

      问题内容： 请弄清楚这一点。该代码正常运行，没有任何异常。 Buttttttttt return语句始终返回false，并且文件未上传到服务器上。请有人帮忙。 供您参考，1）我在办公室网络中。-–>我们需要添加任何代理吗？ 请帮忙 问题答案： 确切的失败消息可以通过调用FtpClient＃getReplyCode（）来找到。从该页面（我的重点）： 连接后立即是唯一实时的操作，您需要检查回复代码（因

    • getRequestProperty（“ Authorization”）始终返回null

      问题内容： 我正在尝试读取HTTP请求的授权标头（因为我需要向其添加一些内容），但是标头值始终为null。其他标头工作正常。 难道我做错了什么？这是“安全”功能吗？有没有办法使它与URLConnection一起使用，还是需要使用另一个HTTP客户端库？ 问题答案： 显然，这是安全的“功能”。URLConnection实际上是sun.net.www.protocol.http.HttpURLConn

    相关问答

    AzureJavaSDK 1.0.0 osDiskStorageAcCountType（）始终返回空Node.js fs.ReadFile始终返回错误Spring Secutirty hasRole始终返回403MessageSource始终返回默认消息

    相关文章

    Java getResourceAsStream（）始终返回nullC＃Newtonsoft.Json.Linq.JValue始终返回Int64MySQLi count（*）始终返回1QSqlDatabase :: open（）始终返回truemoveTaskToBack（true）始终返回false

    相关阅读

    Python return函数返回值C语言函数的返回值C语言指针作为函数返回值7.5.6 WebView处理网页返回的错误码信息如何设计 API 接口，实现统一格式返回

    相关工具

    具有视差效果的右滑返回Stjerm桌面终端RPG回合制战斗游戏

    相关文档

    从零开始学 ReactJS深信服移动终端 EasyApp SDK 介绍从零开始做运营 v1从零开始做运营 v2从零开始的 JSON 库教程
    快捷导航： 新手教程 算法原理 架构设计 Java进阶 数据库进阶 大厂专栏 面试经验 编程笔记 编程问答 所有专题 文档资料 工具软件 电子书籍 小牛导航
    在线工具： 房贷计算器 个税计算器 Linux命令查询 Json格式化 正则表达式 颜色转换 AES加解密 SHA1加密 MD5加密 毒鸡汤 字数统计 随机密码生成 进制转换 Base64编解码 励志句子
    Copyright © 2019-2024 小牛知识库@xnip.cn. All Rights Reserved.