1

Я занимаюсь изучением Spring Security. Я понимаю что на реальном сайте должна быть отдельная форма входа для админа и отдельная для юзера, и нужно сделать невозможным вход админа с формы для обычного юзера. Но как это сделать я ума не приложу. Я имею имплементацию UserDetailsService:

@Service("userService")
@Transactional(propagation = Propagation.REQUIRES_NEW )
public class UserServiceImpl implements UserService, UserDetailsService{

    @Autowired
    private UserDAO userDao;

    @Override
    public boolean registerUser(User user) {
        User userWithTheSameLogin = userDao.getUserByLogin(user.getUserLogin());
        if(!Objects.isNull(userWithTheSameLogin)){
            //if user with the same login registered already
            return false;
        }else{
            User userWithTheSamePassword = userDao.getUserByEmail(user.getUserEmail());
            if(!Objects.isNull(userWithTheSamePassword)){
                //if user with the same email registered already
                return false;
            }
            else{
                //if user's credentials are unique
                userDao.create(user);
                return true;
            }
        }

    }

    @Override
    @Transactional(readOnly = true)
    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
        // TODO Auto-generated method stub
        User user = userDao.getUserByLogin(userName); 
        if(user!=null){
            boolean enabled = user.getUserStatus().equals(UserStatus.ACTIVE);
            boolean accountNonExpired = user.getUserStatus().equals(UserStatus.ACTIVE);
            boolean credentialsNonExpired = user.getUserStatus().equals(UserStatus.ACTIVE);
            boolean accountNonLocked = user.getUserStatus().equals(UserStatus.ACTIVE);

            Collection<GrantedAuthority> authorities = new ArrayList<>();
            authorities.add(new SimpleGrantedAuthority(user.getRole()));

            org.springframework.security.core.userdetails.User securityUser = 
                    new org.springframework.security.core.userdetails.User(
                            user.getUserLogin(), user.getUserPassword(), enabled, 
                            accountNonExpired, credentialsNonExpired, accountNonLocked, authorities);
            return securityUser;
        }else{
            throw new UsernameNotFoundException("Invalid user login");
        }
    }
}

Мои настройки для spring security:

@Configuration
@EnableWebSecurity
@ComponentScan("org.dream.university.service")
public class AppSecurityConfig{


    @Configuration
    @Order(1)
    public class AdminSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

        @Override
        public void configure(WebSecurity web){
            web 
                .ignoring()
                    .antMatchers(new String[]{"/resources/**"});
            }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                .authorizeRequests()
                    .antMatchers("/about","search*","/registration*","/login*","/bulbular*").permitAll()
                    .antMatchers("/admin").hasRole("ADMIN")
                    .anyRequest().authenticated()
                    .and()
                .formLogin()
                    .loginPage("/login")
                    .permitAll()
                    .defaultSuccessUrl("/students.html", true)
                    .failureUrl("/login?error")
                    .usernameParameter("username")
                    .passwordParameter("password")
                    .loginProcessingUrl("/j_spring_security_check")
                    .and()
                .logout()
                    .logoutUrl("/logout")
                    .logoutSuccessUrl("/login")
                    .and()
                .csrf()
                    .disable();

        }

        @Bean(name = "authenticationManager")
        @Autowired
        public ProviderManager getProviderManager(DaoAuthenticationProvider daoAuthenticationProvider){
            List<AuthenticationProvider> providers = new ArrayList<>();
            providers.add(daoAuthenticationProvider);
            ProviderManager providerManager = new ProviderManager(providers);
            return providerManager;

        }

        @Bean
        @Autowired
        public DaoAuthenticationProvider daoAuthenticationProvider(UserDetailsService userDetailsService){
            DaoAuthenticationProvider provider = new DaoAuthenticationProvider();
            provider.setUserDetailsService(userDetailsService);
            return provider;
        }
    }
}

Я могу сделать отдельную http.antMatcher("/admin/**").and().formLogin() только для админа. Но имплементация UserDetailsService остаеться такая же. А мне нужна отдельная что-то типа:

@Override
@Transactional(readOnly = true)
public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
    // TODO Auto-generated method stub
    User user = userDao.getUserByLogin(userName); 
    if(user.getRole().equals("ADMIN")||user==null)
        throw new UsernameNotFoundException("Invalid user login");
    }else return user;
}

То есть чтобы если кто-то даже введет правильные данные для админа, но с обычной формы, ему выдало ошибку.

Помогите плиз с решением этой проблемы или скажите как по другому это реализовывается??

7
  • У вас очень странное требование и, вероятно, поэтому так сложно. В чем смысл такого ограничения? 7 июл 2016 в 10:08
  • @Slava Semushin Создают же отдельный вход для админа, при этом еще и url для формы подбирают как пароль. Это скорей делают с целью безопасности. Или я не прав и это ограничение не имеет смысла??
    – Юра
    7 июл 2016 в 10:10
  • IMHO оно того не стоит. 7 июл 2016 в 10:20
  • Сомнительная фича. Все равно у пользователя и админа разные права.
    – Nofate
    7 июл 2016 в 10:20
  • @Nofate то есть просто оставить одну форму для админа и для юзера?
    – Юра
    7 июл 2016 в 10:22

1 ответ 1

1

У админа и пользователя разные роли делаешь. В spring-security ограничиваешь доступ на различные url исходя из ролей.

1
  • Это понятно, но проблема не в этом. А в том чтобы одна форма делала аутентификацию только пользователей с ролью USER, а одна только пользователей с ролью ADMIN. А это делается еще до того, как юзер залогинился. Вы предлагаете просто ограничить доступ к некоторым ресурсам уже залогиненым юзерам.
    – Юра
    7 июл 2016 в 14:29

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.