1. Кастомная форма авторизации
Сначала обратимся к конфигурации Security
данная строка явно лишняя
antMatchers("/login").hasAnyRole("USER", "ADMIN")
Плохая идея ограничивать ролями страницу авторизации.
Ее(строку) лучше удалить, тем более что дальше Вы все равно переопределяете данное правило разрешая всем без исключения доступ к форме авторизации
and().formLogin().permitAll()
В данном контексте первая строка дважды не имеет смысла.
Избавимся от нее.
Далее:
На всякий случай укажем адрес страницы авторизации:
formLogin()
.loginPage("/login")
.permitAll()
Делаем мы это потому что далее мы будем привязывать шаблон к данной странице
В итоге:
@Configuration
@EnableWebSecurity
public class BasicConfiguration extends WebSecurityConfigurerAdapter {
// ... Сократил configure(AuthenticationManagerBuilder auth) для краткости
// ... он остался без изменений
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/comments").hasAnyRole( "USER")
.antMatchers("/mainPage").hasAnyRole("ADMIN")
.and()
.formLogin()
.loginPage("/login")
.permitAll()
;
}
}
Далее постарайтесь найти в Вашем проекте класс конфигурации MVC.
Это класс имплементирующий интерфейс WebMvcConfigurer
и помеченный аннотацией @Configuration
Если Вы такого не найдёте - создайте его!
В данном классе нас интересует метод addViewControllers(ViewControllerRegistry registry)
Если его нет - добавьте!
Для чего служит этот метод?
С помощью данного метода можно связать запрос с конкретной вьюхой, при условии, что при отображении данного шаблона не будет выполнятся дополнительной логики.
Для этого нам передается в параметр реестр.
registry
.addViewController("/login") // указываем обрабатываемый запрос
.setViewName("front/security/login"); // указываем нужный шаблон
Итого:
(минимальный рабочий вариант)
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ResourceHandlerRegistry;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class MVCConfig implements WebMvcConfigurer {
public void addViewControllers(ViewControllerRegistry registry) {
registry.addViewController("/login").setViewName("front/security/login");
}
}
в моем случае шаблон находится в src/main/resources/templates/front/security/login.html
Стоит отметить здесь, что в данном случае используется Thymeleaf в качестве шаблонизатора. Если Вы используете в качестве шаблонов jsp, путь скорее всего будет отличаться.
Ну и на странице авторизации что-то вроде того:
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
<head>
</head>
<body>
<div class="container">
<div class="body">
<h2>Вход</h2>
<div class="form">
<form th:action="@{/login}" method="post">
<p class="fw-normal">Пожалуйста, авторизуйтесь</p>
<div th:if="${param.error}">
Invalid username and password.
</div>
<div th:if="${param.logout}">
Вы вышли из системы.
</div>
<div class="form-control">
<input type="text" placeholder="Ваш Email:" name="username">
</div>
<div class="form-control">
<input type="password" placeholder="Ваш пароль:" name="password">
</div>
<div class="form-control">
<input type="checkbox" value="remember-me"> Запомнить меня
</div>
<div class="form-control">
<button class="button" type="submit">Войти</button>
</div>
</form>
</div>
</div>
</div>
</body>
</html>
И должно получится в итоге, то что Вы наверстали
У меня это выглядит как-то так:

2. Переход на страницу mainPage от имени администратора
Имею следующие входные данные:
Следующая настройка авторизованных запрросов:
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/comments").hasAnyRole( "USER")
.antMatchers("/mainPage").hasAnyRole("ADMIN")
.and()
.formLogin()
.permitAll()
;
}
Т.к. код контроллера не был передан и указан в теле вопроса, я его восстановил сам, исходя из настроек безопасности.
Данный контроллер просто обрабатывает запросы(нам нужны были страницы
/comments
и /mainPage
) и рендерит указанные шаблоны:
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
@Controller
public class TestController {
@GetMapping("/comments")
public String comments() {
return "comments";
}
@GetMapping("/mainPage")
public String main() {
return "mainPage";
}
}
В качестве шаблона я использовал следующую страницу
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>MAIN PAGE</title>
</head>
<body>
<h1>Main Page</h1>
<p>Страница доcтупная только администратору</p>
</body>
</html>
В итоге после авторизации от имени администратора и перехода на страницу /mainPage
, я увидел это. Что полностью соответствует ожиданиям.

Возможные проблемы
Из возможных проблем можно отметить пару:
Вариант #1. Вы что-то напутали с маршрутами и адресами.
Об этом я подумал из-за того что вы в конфигурации и в теле вопроса указываете разные страницы
/comm
вместо /comments
/main
вместо /mainPage
В конфигурации авторизованных запросов вы указываете не имя метода и ничто другое, кроме пути, который должен указываться в адресной строке.
И пути в контроллере и в конфигурации должны совпадать
http.authorizeRequests().antMatchers("/comments").hasAnyRole( "USER")
Соответствует
@GetMapping("/comments")
public String comments() {
return "comments";
}
а
http.authorizeRequests().antMatchers("/mainPage").hasAnyRole("ADMIN")
соответствует
@GetMapping("/mainPage")
public String main() {
return "mainPage";
}
Адреса должны совпадать.
Вариант #2. Вы потеряли шаблон.
404 ошибка, к сожалению, не всегда значит, что страница не была найдена.
Иногда это означает, что не был найден шаблон для отображения страницы.
Для того чтобы проверить это, можете поставить аннотацию @ResponseBody
над методом.
@GetMapping("/mainPage")
@ResponseBody
public String main() {
return "mainPage";
}
В данном случае сервер просто вернет в качестве ответа строку, которую вы указали после return
(В моем случае просто строка "mainPage" без верстки)
Если после простонавки аннотации @ResponseBody у вас также выведется строка из return
- значит вы потеряли шаблон.
Уберите эту аннотацию, т.к. она нам больше не понадобится.
И пытайтесь найти потерянный шаблон
Возможно вы нечаянно положили его в другую папку или напутали с путем к шаблону.
В моем случае все настроено корректно и работает нормально: как с шаблоном, так и без.
Шаблон страницы mainPage у меня хранится по следующему пути:
src/main/resources/templates/mainPage.html
Это соответствует
return "mainPage";
И справедливо для проектов, в котором в качестве шаблонизатора используется Thymeleaf
Если в качестве шаблонов вы используете jsp, то у вас скорее всего должен быть путь:
src/main/webapp/WEB-INF/jsp/mainPage.jsp
или
src/main/WEB-INF/jsp/mainPage.jsp
Зависит от настроек