登录后，Spring Security再次重定向到登录页面

Question

我使用的是Spring Security 4.1.1，但我遇到了一个问题：我试图访问URL，应用程序会重定向到登录页面。到现在为止，一直都还不错。

但是，成功登录后，应用程序会再次将我重定向到登录页面，并且不会创建任何会话，因此即使尝试直接访问URL（在URL栏中键入），应用程序也会重定向到登录页面。

有一些URL我必须要求登录才能访问它们。其他的，我可以访问无需身份验证。这些我不需要验证的URL工作得很好（即不要求登录，URL被访问），但那些需要验证的URL要求登录，但在键入用户名和密码后，它会再次重定向到登录页面，我无法直接访问URL。

我的confiure（）方法是这样的：

// Those URL pattern I need authentication to access them.
protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/admin/gerenciar/**", "/admin/adicionar/**", "/admin/index.html", "/admin/").
            authenticated().and().formLogin().loginPage("/admin/login.html").permitAll();
}

我不确定是否需要发布任何其他代码来澄清我的问题或帮助他人回答我。如果是，请告诉我，以便我可以更新我的问题。

编辑1

一个问题：我想为antMatcher（）方法参数中的那些URL请求身份验证：我需要写“/admin/index.html”和“/admin/”吗？Spring Security也一样吗？

编辑2

我想让每个人都可以访问的URL：“/”和“/管理员/资源/**”。在/admin/resources中，我有css和js，这就是为什么我希望每个人都能访问它们。这些URL不需要身份验证。

我需要人们对URL进行身份验证：“/admin/gerenciar/**", "/admin/adicionar/**”和“/admin/”（当然，隐含地说“/admin/index.html”）。

我现在的问题是：如何为它编写代码（在configure（）方法中）？

Answer 1

我发现了一个解决方法，它在这里提供了预期的功能，但有一个重要的缺陷：在旧版本中，Spring-boot默认使用的加密NoOpPasswordEncoder现在被认为是不安全的。我想，这个解决方案强制执行了这种加密，所以对于学习目的或安全环境来说是可以的。

只需将其添加到密码字符串中：{noop}。

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

// create two users, admin and user
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

    auth.inMemoryAuthentication()
            .withUser("user").password("{noop}pass").roles("USER")
            .and()
            .withUser("admin").password("{noop}pass").roles("ADMIN");
}

我有兴趣阅读关于这一点的解释，这对我来说并不简单。

Answer 2

这对我有用。登录成功后，Spring security将重定向到“/”，然后检查用户是否经过身份验证，在本例中，将其重定向到我的仪表板页面。

@RequestMapping("/")
    public String index(Model model) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (!(auth instanceof AnonymousAuthenticationToken))
            return "dashboard";

        // if it is not authenticated, then go to the index...
        // other things ...
        return "index";
    }

Answer 3

我的理解是-

任何人都可以访问/管理/登录。html和/admin/resources/**，而不是其他管理员URL？

我认为方法应该是-

protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
        .antMatchers("/**", "/admin/login.html", "/admin/resources/**").permitAll()
        .antMatchers("/admin/**", "/admin/gerenciar/**", "/admin/adicionar/**").
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/admin/login.html")
            .permitAll();
}