1

Делаю приложение с использованием Spring Security. Есть HTML страница авторизации для ввода логина и пароля пользователем. Так же есть файл конфигурации

1 - При запуске приложения открывается автоматическая форма из Security, а не моя HTML страница. Подскажите, пожалуйста, как перенаправить приложение на мою страницу авторизации?

2 - При вохе по роли user могу перейти на страницу /comm, а при входе под ролью admin и переходе на /main получаю ошибку

Whitelabel Error Page
This application has no explicit mapping for /error, so you are seeing this as a fallback.

Tue Nov 23 23:46:41 MSK 2021
There was an unexpected error (type=Not Found, status=404).
No message available

Как реализовать возможность открытия перехода под админом?

Конфигурационный файл:

@Configuration
@EnableWebSecurity
public class BasicConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        PasswordEncoder encoder =
                PasswordEncoderFactories.createDelegatingPasswordEncoder();
                auth
                .inMemoryAuthentication()
                .withUser("user")
                .password(encoder.encode("password"))
                .roles("USER")
                .and()
                .withUser("admin")
                .password(encoder.encode("admin"))
                .roles("USER", "ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/login").hasAnyRole("USER", "ADMIN")
                .antMatchers("/comments").hasAnyRole( "USER")
                .antMatchers("/mainPage").hasAnyRole("ADMIN")
                .and().formLogin().permitAll();
    }
}
2

1 ответ 1

4

1. Кастомная форма авторизации

Сначала обратимся к конфигурации Security

данная строка явно лишняя

antMatchers("/login").hasAnyRole("USER", "ADMIN")

Плохая идея ограничивать ролями страницу авторизации.
Ее(строку) лучше удалить, тем более что дальше Вы все равно переопределяете данное правило разрешая всем без исключения доступ к форме авторизации

and().formLogin().permitAll()

В данном контексте первая строка дважды не имеет смысла.
Избавимся от нее.

Далее:
На всякий случай укажем адрес страницы авторизации:

formLogin()
    .loginPage("/login")
    .permitAll()

Делаем мы это потому что далее мы будем привязывать шаблон к данной странице В итоге:

@Configuration
@EnableWebSecurity
public class BasicConfiguration extends WebSecurityConfigurerAdapter {
    // ... Сократил configure(AuthenticationManagerBuilder auth) для краткости
    // ... он остался без изменений
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/comments").hasAnyRole( "USER")
                .antMatchers("/mainPage").hasAnyRole("ADMIN")
            .and()
                .formLogin()
                   .loginPage("/login")
                   .permitAll()
        ;
    }
}

Далее постарайтесь найти в Вашем проекте класс конфигурации MVC.
Это класс имплементирующий интерфейс WebMvcConfigurer и помеченный аннотацией @Configuration

Если Вы такого не найдёте - создайте его!

В данном классе нас интересует метод addViewControllers(ViewControllerRegistry registry)
Если его нет - добавьте!

Для чего служит этот метод?
С помощью данного метода можно связать запрос с конкретной вьюхой, при условии, что при отображении данного шаблона не будет выполнятся дополнительной логики.

Для этого нам передается в параметр реестр.

registry
    .addViewController("/login") // указываем обрабатываемый запрос
    .setViewName("front/security/login"); // указываем нужный шаблон

Итого:
(минимальный рабочий вариант)

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ResourceHandlerRegistry;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class MVCConfig implements WebMvcConfigurer {
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/login").setViewName("front/security/login");
    }
}

в моем случае шаблон находится в src/main/resources/templates/front/security/login.html
Стоит отметить здесь, что в данном случае используется Thymeleaf в качестве шаблонизатора. Если Вы используете в качестве шаблонов jsp, путь скорее всего будет отличаться.

Ну и на странице авторизации что-то вроде того:

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
<head>
</head>
<body>
<div class="container">
    <div class="body">
        <h2>Вход</h2>
        <div class="form">
            <form th:action="@{/login}" method="post">
                <p class="fw-normal">Пожалуйста, авторизуйтесь</p>
                <div th:if="${param.error}">
                    Invalid username and password.
                </div>
                <div th:if="${param.logout}">
                    Вы вышли из системы.
                </div>
                <div class="form-control">
                    <input type="text" placeholder="Ваш Email:" name="username">
                </div>
                <div class="form-control">
                    <input type="password" placeholder="Ваш пароль:" name="password">
                </div>
                <div class="form-control">
                    <input type="checkbox" value="remember-me"> Запомнить меня
                </div>
                <div class="form-control">
                    <button class="button" type="submit">Войти</button>
                </div>
            </form>
        </div>
    </div>
</div>
</body>
</html>

И должно получится в итоге, то что Вы наверстали
У меня это выглядит как-то так: введите сюда описание изображения

2. Переход на страницу mainPage от имени администратора

Имею следующие входные данные:

Следующая настройка авторизованных запрросов:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/comments").hasAnyRole( "USER")
            .antMatchers("/mainPage").hasAnyRole("ADMIN")
        .and()
            .formLogin()
            .permitAll()
    ;
}

Т.к. код контроллера не был передан и указан в теле вопроса, я его восстановил сам, исходя из настроек безопасности.

Данный контроллер просто обрабатывает запросы(нам нужны были страницы /comments и /mainPage) и рендерит указанные шаблоны:

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class TestController {
    @GetMapping("/comments")
    public String comments() {
        return "comments";
    }

    @GetMapping("/mainPage")
    public String main() {
        return "mainPage";
    }
}

В качестве шаблона я использовал следующую страницу

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>MAIN PAGE</title>
</head>
<body>
    <h1>Main Page</h1>
    <p>Страница доcтупная только администратору</p>
</body>
</html>

В итоге после авторизации от имени администратора и перехода на страницу /mainPage, я увидел это. Что полностью соответствует ожиданиям. введите сюда описание изображения

Возможные проблемы

Из возможных проблем можно отметить пару:

Вариант #1. Вы что-то напутали с маршрутами и адресами.
Об этом я подумал из-за того что вы в конфигурации и в теле вопроса указываете разные страницы

  • /comm вместо /comments
  • /main вместо /mainPage

В конфигурации авторизованных запросов вы указываете не имя метода и ничто другое, кроме пути, который должен указываться в адресной строке.
И пути в контроллере и в конфигурации должны совпадать

http.authorizeRequests().antMatchers("/comments").hasAnyRole( "USER")

Соответствует

@GetMapping("/comments")
public String comments() {
    return "comments";
}

а

http.authorizeRequests().antMatchers("/mainPage").hasAnyRole("ADMIN")

соответствует

@GetMapping("/mainPage")
public String main() {
    return "mainPage";
}

Адреса должны совпадать.

Вариант #2. Вы потеряли шаблон.
404 ошибка, к сожалению, не всегда значит, что страница не была найдена.
Иногда это означает, что не был найден шаблон для отображения страницы.

Для того чтобы проверить это, можете поставить аннотацию @ResponseBody над методом.

@GetMapping("/mainPage")
@ResponseBody
public String main() {
    return "mainPage";
}

В данном случае сервер просто вернет в качестве ответа строку, которую вы указали после return (В моем случае просто строка "mainPage" без верстки)

Если после простонавки аннотации @ResponseBody у вас также выведется строка из return - значит вы потеряли шаблон.

Уберите эту аннотацию, т.к. она нам больше не понадобится.
И пытайтесь найти потерянный шаблон
Возможно вы нечаянно положили его в другую папку или напутали с путем к шаблону.

В моем случае все настроено корректно и работает нормально: как с шаблоном, так и без.

Шаблон страницы mainPage у меня хранится по следующему пути:

src/main/resources/templates/mainPage.html 

Это соответствует

return "mainPage";

И справедливо для проектов, в котором в качестве шаблонизатора используется Thymeleaf

Если в качестве шаблонов вы используете jsp, то у вас скорее всего должен быть путь:

src/main/webapp/WEB-INF/jsp/mainPage.jsp

или

src/main/WEB-INF/jsp/mainPage.jsp

Зависит от настроек

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.