Spring Security對用戶進行身份驗證以輸入管理員

Question

我正在使用Spring Security來驗證用戶身份。

AdminController.java

@Controller
@Secured("ROLE_ADMIN")
public class AdminController {

     @RequestMapping("/list")
    public ModelAndView listProductController(@ModelAttribute("pForm") Product product, ModelMap model)
    {

         return new ModelAndView("list", model);
    }
}

在上面的代碼中，我希望只有管理員才能訪問URL http://localhost/Pgga/list ，但是即使沒有登錄，我也可以訪問此頁面。

spring-security.xml

<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security.xsd">

    <global-method-security secured-annotations="enabled" />

    <!-- enable use-expressions -->
    <http auto-config="true" use-expressions="true">
    <intercept-url pattern="/admin*" access="ROLE_ADMIN" />

        <!-- access denied page -->
        <access-denied-handler error-page="/403" />
        <form-login 
            login-page="/login"
            login-processing-url="/login.do"
            default-target-url="/index"
            authentication-failure-url="/login?error" 
            username-parameter="emailID"
            password-parameter="password" />
        <logout 
            logout-success-url="/login?logout"
            delete-cookies="JSESSIONID"
            invalidate-session="true" />
        <csrf/>
    </http>

    <authentication-manager>
        <authentication-provider user-service-ref="userAuthenticationProvider">
            <password-encoder hash="plaintext" />
        </authentication-provider>
    </authentication-manager>

</beans:beans>

如何只允許管理員進入管理員區域？

Answer 1

使用hasRole（'admin'）或設置use-expressions =“ false” ....

Answer 2

登錄名重定向到其自身，因為您設置了：

login-page="/login"

並且它保持重定向到用戶頁面，因為spring知道/login它的登錄頁面，但是無權使用它，因此添加以下內容：

<intercept-url pattern="/login" access="permitAll()" />

以確保登錄頁面被允許並且可以向已認證的用戶授予訪問權限或為其分配角色。