1

Я разрабатываю небольшое приложение , и на данный момент занимаюсь написанием безопасности , используя Spring Security. При разработке кастомной страницы аутентификаций возникла интересная проблема. При указаний контроллера для обработки данных аутентификаций данные не делегируются указаному методу , который определен в классе LoginProccessController . При деогностике проблемы используя инструменты разработчика в браузере , я увидел что ответ от сервера 405 , то есть сервер не смог делигировать запрос на указанный контроллер , что странно так как он определен , и имеет корректный адресс . Болле того , я включил DEBUG логи фреймворка , но и там я не увидел что запрос делегируется на контроллер. Но вот что самое интересное , процесс аутентификаций проходит успешно , не смотря на то что сервер вернул 405. Также странно что что сервер возвращая 405 , пытается перенпаравить запрос на адресс который указан в методе successForwardUrl() , и пытается отправить туда POST запрос , который также возвращает 405. Ниже будут преведены куски кода , а также скрины. Помимо этого вы можете сами взглянуть на проблему запустив код из репозитория

И так , вот мой код конфигураций безопасности в приложений.



@Configuration
@EnableWebSecurity
public class SecurityConfig {

      @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        

        // new AntPathRequestMatcher("/pub/**");
        // http
        //   .authorizeHttpRequests(authorize -> authorize
        //   .requestMatchers(AntPathRequestMatcher
        //   .antMatcher(HttpMethod.POST , "/proccess/login")
        //   .antMatcher("/simple")
        //   )
        //   .permitAll()
        //   .anyRequest().authenticated())
        //   .formLogin(login -> 
        //     login
        //   .loginPage("/login")
        //   .loginProcessingUrl("/proccess/login")
        //   .successForwardUrl("/simple")
        //   .permitAll()
          
        //   ).csrf(csrf -> csrf.disable());


        http
        .csrf(csrf -> csrf.disable())
        .authorizeRequests(auth -> {
          try {
            auth
            .requestMatchers(new AntPathRequestMatcher("/pub/**"))
            .permitAll()
            .anyRequest()
            .authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .loginProcessingUrl("/proccess/login")
            .successForwardUrl("/simple");
          } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
          }
        })
        .formLogin(formLogin -> formLogin
        .loginPage("/login")
        .permitAll()
        .loginProcessingUrl("/proccess/login"));



        /*
         * antMatcher() method is missing in newer versions of Spring
        */

        // http
        // .csrf()
        // .disable()
        // .authorizeRequests()
        // .antMatchers("/pub/**")
        // .permitAll()
        // .and()
        // .formLogin()
        // .loginPage("/login")
        // .loginProcessingUrl("/proccess/login")
        // .defaultSuccessUrl("/simple")
        // .and()
        // .logout()
        // .permitAll();



      
        return http.build();
    }


    @Bean
    public AuthenticationManager authenticationManager(HttpSecurity http) throws Exception {
        return http.getSharedObject(AuthenticationManagerBuilder.class).build();
    }


    @Bean
    public UserDetailsService userDetailsService(){
      UserDetails service = User.withDefaultPasswordEncoder()
                                    .username("admin")
                                    .password("password")
                                    .build();

      return new InMemoryUserDetailsManager(service);

    }


    
}


Как видите , я пытался по разному конфигурировать объект HttpSecurity. Я использую зависимость spring-boot-starter-parent самой новой версий 3.1.5


  <parent>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <version>3.1.5</version>
  </parent>

Вот контроллеры которые возвращают страницы , и контроллер который получает данные пользователя для аутентификаций


@Controller
public class LoginController {




    @GetMapping("/login")
    public String login(){

        System.out.println("\n\nOK\n\n");
      
        return "login";

    }


    @GetMapping("/simple")
    public String simple(){

        System.out.println("\n\n\nSIMPLE\n\n\n");
        return "simple";
    }


  

    
}

LoginProccessController :

@RestController
public class LoginProccessController {


    @Autowired
    private AuthenticationManager authenticationManager;



    @PostMapping("/proccess/login")
    public ResponseEntity proccessLogin(
        @RequestParam("username") String username , 
        @RequestParam("password") String password
    ){

        System.out.println("Attempting to authenticate user: " + username);
        Authentication auth = new UsernamePasswordAuthenticationToken(username, password);

    

        Authentication isAuthinticate ;

        try{

         isAuthinticate = authenticationManager.authenticate(auth);

        }catch(Exception badCredentialsException){
            System.out.println("\n\nПользователь не может быть аутентифицирован\n\n");

            return ResponseEntity.badRequest().build();
        }

        System.out.println("\n\nПользователь успешно аутентифицирован\n\n");

        SecurityContextHolder.getContext().setAuthentication(auth);

        return ResponseEntity.ok().build();
    }
    
}

Также вот HTML форма которая возвращается при запросе на логин

...
<body>
  <div class="login-form">
    <form action="/proccess/login" method="post"> 
      <div class="input-group">
        <label for="username">Login</label>
        <input type="text" id="username" name="username" required>
      </div>
      <div class="input-group">
        <label for="password">Password</label>
        <input type="password" id="password" name="password" required>
      </div>
      <button type="submit">войти</button>
    </form>
    <a href="#">Don't have account? Register</a>
  </div>
</body>


... 

введите сюда описание изображения

Я пытался решить проблему используя ChatGPT , однако он ни чем мне помочь не смог , так как он не знает про новую версию Spring. В интернете нечего толкового не нашел.

Вы также можете спарсить репозиторий , и собрать его что бы убедится в проблеме

mvn package spring-boot:repackage -DskipTests 

Вот ссылка на ветку в репозиторий

Я попытался подробно описать проблему , надеюсь предоставленных данных достаточно . Если будут вопросы , я с радостью на них отвечу в комментариях

2 ответа 2

2

По не понятным причинам Spring Security не пропускал адрес /proccess/login. Решением стало просто изменить адрес обработки данных аутентификации , в данном случае для примера я решил использовать /login/two и о чудо , все заработало.

 @PostMapping("/login/two")
    @ResponseBody
    public ResponseEntity proccessLogin(

        @RequestParam("username") String username , 
        @RequestParam("password") String password
    ){


            // ...

    }

И так, по большому счету проблема решена , однако я так и не понял почему я не могу использовать адрес /proccess/login. Есть несколько возможных вариантов которые приходят на ум :

  1. Зарезервированный адрес. Поскольку я использую последнею версию Spring , есть вероятность что этот адрес зарезервирован фреймворком , и он обрабатывается им по своему.
  2. Неправильная маршрутизация. Возможно при отправке запроса на указанный адрес , Spring вылавливает лишь последний префикс , то есть /login и пытается отправить на него POST запрос , после чего сервер возвращает 405.

В любом случае я еще по эксперементирую с проектом и с Spring Security. Если что то найду , обязательно дополню ответ.

0

Не являюсь специалистом по Spring Security, но как-то странно выглядит зависимость

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>2.3.3.RELEASE</version>
</dependency>

Которая Aug 13, 2020 года выпуска и последний(3.1.5) Spring Boot. Там очень много поменялось в конфигурации HttpSecurity За 3 года

1
  • Я добавил тег version что бы попробовать настроить конфиг на старой версий , как результат это не помогло. До этого я не указывал версию , и версия подгружалась из spring-boot-starter-parent. В репе в конфиге безопасности закоментированны настройки http для разных версий @dmitrij-irikov
    – nick
    Commented 23 нояб. 2023 в 7:54

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.