Проблема безопасности Spring с ошибкой 404?

Question

Привет всем, я использую Spring Security 3.0.2, urlRewrite 3.1.0, и у меня есть проблема с Spring Security, у меня есть правило, что все страницы в приложении требуют аутентификации, за исключением некоторых страниц, поэтому моя безопасность.xml:

<http use-expressions="true" > 
<intercept-url pattern="/" access="permitAll" />
<intercept-url pattern="/error"  filter="none" />  
<intercept-url pattern="/**" access="isAuthenticated()" />
.
.
.</http>

в файле web.xml я определил страницу ошибки

<error-page>
   <error-code>404</error-code>
   <location>/p/error</location>
</error-page>

, и проблема в том, что если я не вошел в систему, и набрал какой-то URLкоторый не существует в приложении, например app / notFoundUrl, система безопасности Spring сопоставила эту страницу с шаблоном / **, который требует аутентификации, поэтому пользователь не перенаправляется на страницу ошибки, как ожидалось, а перенаправляется на страницу входа и после нее., перенаправлен на страницу с ошибкой

, и я хочу, чтобы, если пользователь набрал неверный URL-адрес, вошел он в систему или нет, он будет перенаправлен на страницу с ошибкой напрямую.связанных с web.xml, вот оно:

<?xml version="1.0" encoding="ISO-8859-1"?>
<web-app version="2.5" xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">

    <!-- Beans in these files will makeup the configuration of the root web application context -->
    <!-- Bootstraps the root web application context before servlet initialization-->
    <listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
    </listener>

    <!-- Deploys the 'projects' dispatcher servlet whose configuration resides in /WEB-INF/servlet-config.xml-->
    <servlet>
        <servlet-name>p</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>
            /WEB-INF/servlet-config.xml         
            </param-value>
        </init-param>
    </servlet>

    <!-- Maps all /p URLs to the 'p' servlet -->
    <servlet-mapping>
        <servlet-name>p</servlet-name>
        <url-pattern>/p/*</url-pattern>
    </servlet-mapping>

   <error-page>
   <error-code>404</error-code>
   <location>/p/error</location>
   </error-page>


   <!-- force encoding on the requests -->
   <filter>
    <filter-name>encoding-filter</filter-name>
    <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
    <init-param>
      <param-name>encoding</param-name>
      <param-value>utf-8</param-value>
    </init-param>
    <init-param>
      <param-name>forceEncoding</param-name>
      <param-value>true</param-value>
    </init-param>
  </filter>
  <filter-mapping>
    <filter-name>encoding-filter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
  </filter-mapping>

    <filter>
        <filter-name>springSecurityFilterChain</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>springSecurityFilterChain</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>



   <filter>
    <filter-name>UrlRewriteFilter</filter-name>
    <filter-class>org.tuckey.web.filters.urlrewrite.UrlRewriteFilter</filter-class>

  </filter>
  <filter-mapping>
    <filter-name>UrlRewriteFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>





    <!-- Security -->
    <context-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>
      /WEB-INF/application-config.xml
      /WEB-INF/app-security.xml
      /WEB-INF/mvc-config.xml
    </param-value>
    </context-param>


    <session-config>
      <session-timeout>1</session-timeout> 
    </session-config>


</web-app>

есть идеи, как решить эту проблему?

Answer 1

Вы сказали:

Я хочу, чтобы, если пользователь ввел неверный URL-адрес, вошел он в систему или нет, он будет перенаправлен на страницу с ошибкой напрямую

Spring security будет перехватывать каждый запрос, прежде чем узнает, действителен ли его URL-адрес, поэтому способ получить его - перехватить все действительные URL-адреса с некоторыми шаблонами и добавить в конце общий шаблон, к которому может обратиться любой .

<intercept-url pattern="/" access="permitAll" />
<intercept-url pattern="/validUrl1Pattern"  access="permitAll" />  
<intercept-url pattern="/validUrl2Pattern"  access="permitAll" />  
<intercept-url pattern="/validUrl2Pattern"  access="permitAll" />  
...
<intercept-url pattern="/**" access="ROLE_ANONYMOUS" />

Проблема этой конфигурации в том, что, вероятно, сложно найти шаблоны для всех действительных URL, если ваше приложение сложное.

Answer 2

когда вы устанавливаете атрибут access="true", вы указываете spring-security проверить, есть ли у пользователя атрибут безопасности (который обычно является ролью) с именем «true». Я не думаю, что это ваша цель?

, чтобы обойти защиту, вы можете установить filters="none" и пропустить атрибут доступа: <intercept-url pattern="/errorpage" filters="none" />

см. документацию по

Answer 3

Да, просто добавьте это:

<intercept-url pattern="/error/**" access="permitAll" />

Это сделает так, что каждый сможет получить доступ ко всем вашим страницам ошибок.

Answer 4

Добавьте / error к вашему списку <intercept-url/> элементов, чтобы для доступа к нему не требовалась аутентификация.