1

Делаю приложение с использованием Spring Security. Есть HTML страница авторизации для ввода логина и пароля пользователем. Так же есть файл конфигурации

1 - При запуске приложения открывается автоматическая форма из Security, а не моя HTML страница. Подскажите, пожалуйста, как перенаправить приложение на мою страницу авторизации?

2 - При вохе по роли user могу перейти на страницу /comm, а при входе под ролью admin и переходе на /main получаю ошибку

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.

Tue Nov 23 23:46:41 MSK 2021
There was an unexpected error (type=Not Found, status=404).
No message available

Как реализовать возможность открытия перехода под админом?

Конфигурационный файл:

@Configuration
@EnableWebSecurity
public class BasicConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        PasswordEncoder encoder =
                PasswordEncoderFactories.createDelegatingPasswordEncoder();
                auth
                .inMemoryAuthentication()
                .withUser("user")
                .password(encoder.encode("password"))
                .roles("USER")
                .and()
                .withUser("admin")
                .password(encoder.encode("admin"))
                .roles("USER", "ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/login").hasAnyRole("USER", "ADMIN")
                .antMatchers("/comments").hasAnyRole( "USER")
                .antMatchers("/mainPage").hasAnyRole("ADMIN")
                .and().formLogin().permitAll();
    }
}
2

1 ответ 1

4

1. Кастомная форма авторизации

Сначала обратимся к конфигурации Security

данная строка явно лишняя

antMatchers("/login").hasAnyRole("USER", "ADMIN")

Плохая идея ограничивать ролями страницу авторизации.
Ее(строку) лучше удалить, тем более что дальше Вы все равно переопределяете данное правило разрешая всем без исключения доступ к форме авторизации

and().formLogin().permitAll()

В данном контексте первая строка дважды не имеет смысла.
Избавимся от нее.

Далее:
На всякий случай укажем адрес страницы авторизации:

formLogin()
    .loginPage("/login")
    .permitAll()

Делаем мы это потому что далее мы будем привязывать шаблон к данной странице В итоге:

@Configuration
@EnableWebSecurity
public class BasicConfiguration extends WebSecurityConfigurerAdapter {
    // ... Сократил configure(AuthenticationManagerBuilder auth) для краткости
    // ... он остался без изменений
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/comments").hasAnyRole( "USER")
                .antMatchers("/mainPage").hasAnyRole("ADMIN")
            .and()
                .formLogin()
                   .loginPage("/login")
                   .permitAll()
        ;
    }
}

Далее постарайтесь найти в Вашем проекте класс конфигурации MVC.
Это класс имплементирующий интерфейс WebMvcConfigurer и помеченный аннотацией @Configuration

Если Вы такого не найдёте - создайте его!

В данном классе нас интересует метод addViewControllers(ViewControllerRegistry registry)
Если его нет - добавьте!

Для чего служит этот метод?
С помощью данного метода можно связать запрос с конкретной вьюхой, при условии, что при отображении данного шаблона не будет выполнятся дополнительной логики.

Для этого нам передается в параметр реестр.

registry
    .addViewController("/login") // указываем обрабатываемый запрос
    .setViewName("front/security/login"); // указываем нужный шаблон

Итого:
(минимальный рабочий вариант)

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ResourceHandlerRegistry;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class MVCConfig implements WebMvcConfigurer {
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/login").setViewName("front/security/login");
    }
}

в моем случае шаблон находится в src/main/resources/templates/front/security/login.html
Стоит отметить здесь, что в данном случае используется Thymeleaf в качестве шаблонизатора. Если Вы используете в качестве шаблонов jsp, путь скорее всего будет отличаться.

Ну и на странице авторизации что-то вроде того:

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
<head>
</head>
<body>
<div class="container">
    <div class="body">
        <h2>Вход</h2>
        <div class="form">
            <form th:action="@{/login}" method="post">
                <p class="fw-normal">Пожалуйста, авторизуйтесь</p>
                <div th:if="${param.error}">
                    Invalid username and password.
                </div>
                <div th:if="${param.logout}">
                    Вы вышли из системы.
                </div>
                <div class="form-control">
                    <input type="text" placeholder="Ваш Email:" name="username">
                </div>
                <div class="form-control">
                    <input type="password" placeholder="Ваш пароль:" name="password">
                </div>
                <div class="form-control">
                    <input type="checkbox" value="remember-me"> Запомнить меня
                </div>
                <div class="form-control">
                    <button class="button" type="submit">Войти</button>
                </div>
            </form>
        </div>
    </div>
</div>
</body>
</html>

И должно получится в итоге, то что Вы наверстали
У меня это выглядит как-то так: введите сюда описание изображения

2. Переход на страницу mainPage от имени администратора

Имею следующие входные данные:

Следующая настройка авторизованных запрросов:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/comments").hasAnyRole( "USER")
            .antMatchers("/mainPage").hasAnyRole("ADMIN")
        .and()
            .formLogin()
            .permitAll()
    ;
}

Т.к. код контроллера не был передан и указан в теле вопроса, я его восстановил сам, исходя из настроек безопасности.

Данный контроллер просто обрабатывает запросы(нам нужны были страницы /comments и /mainPage) и рендерит указанные шаблоны:

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class TestController {
    @GetMapping("/comments")
    public String comments() {
        return "comments";
    }

    @GetMapping("/mainPage")
    public String main() {
        return "mainPage";
    }
}

В качестве шаблона я использовал следующую страницу

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>MAIN PAGE</title>
</head>
<body>
    <h1>Main Page</h1>
    <p>Страница доcтупная только администратору</p>
</body>
</html>

В итоге после авторизации от имени администратора и перехода на страницу /mainPage, я увидел это. Что полностью соответствует ожиданиям. введите сюда описание изображения

Возможные проблемы

Из возможных проблем можно отметить пару:

Вариант #1. Вы что-то напутали с маршрутами и адресами.
Об этом я подумал из-за того что вы в конфигурации и в теле вопроса указываете разные страницы

  • /comm вместо /comments
  • /main вместо /mainPage

В конфигурации авторизованных запросов вы указываете не имя метода и ничто другое, кроме пути, который должен указываться в адресной строке.
И пути в контроллере и в конфигурации должны совпадать

http.authorizeRequests().antMatchers("/comments").hasAnyRole( "USER")

Соответствует

@GetMapping("/comments")
public String comments() {
    return "comments";
}

а

http.authorizeRequests().antMatchers("/mainPage").hasAnyRole("ADMIN")

соответствует

@GetMapping("/mainPage")
public String main() {
    return "mainPage";
}

Адреса должны совпадать.

Вариант #2. Вы потеряли шаблон.
404 ошибка, к сожалению, не всегда значит, что страница не была найдена.
Иногда это означает, что не был найден шаблон для отображения страницы.

Для того чтобы проверить это, можете поставить аннотацию @ResponseBody над методом.

@GetMapping("/mainPage")
@ResponseBody
public String main() {
    return "mainPage";
}

В данном случае сервер просто вернет в качестве ответа строку, которую вы указали после return (В моем случае просто строка "mainPage" без верстки)

Если после простонавки аннотации @ResponseBody у вас также выведется строка из return - значит вы потеряли шаблон.

Уберите эту аннотацию, т.к. она нам больше не понадобится.
И пытайтесь найти потерянный шаблон
Возможно вы нечаянно положили его в другую папку или напутали с путем к шаблону.

В моем случае все настроено корректно и работает нормально: как с шаблоном, так и без.

Шаблон страницы mainPage у меня хранится по следующему пути:

src/main/resources/templates/mainPage.html 

Это соответствует

return "mainPage";

И справедливо для проектов, в котором в качестве шаблонизатора используется Thymeleaf

Если в качестве шаблонов вы используете jsp, то у вас скорее всего должен быть путь:

src/main/webapp/WEB-INF/jsp/mainPage.jsp

или

src/main/WEB-INF/jsp/mainPage.jsp

Зависит от настроек

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.