Spring Security 拦截器 URL 不起作用

Question

我在一个项目中使用 Spring Security 3.0.3。

该项目有 3 个区域，应该可供不同的人访问

因此我创建了以下结构 - WEB-INF/（对于所有人=不受保护） - WEB-INF/app（对于用户= ROLE_USER） - WEB-INF/app/admin.jsf（对于管理员= ROLE_ADMIN）

admin.jsf 位于同一目录中，不幸的是我无法更改。

我的用户信息是从数据库加载的。

它们的定义如下：

<bean id="preAuthenticatedProcessingFilterEntryPoint" class="org.springframework.security.web.authentication.Http403ForbiddenEntryPoint"/> <security:http entry-point-ref="preAuthenticatedProcessingFilterEntryPoint" >
   <security:custom-filter position="PRE_AUTH_FILTER" ref="MyFilter"/>
   <security:intercept-url pattern="/app/admin.jsf" access="ROLE_ADMIN" />         
   <security:intercept-url pattern="/app/**" access="ROLE_USER" />
   <security:intercept-url pattern="/**" access="" />
</security:http>

现在，一切都很好。用户数据已加载，角色根据数据库设置，但不幸的是，

• 所有人都可以访问未受保护的区域（没关系）
• 管理员可以看到每个页面（因为他们也是 ROLE_USER）
• 角色用户无法进入应用程序中的页面

有人有提示吗我做错了什么？ 我正在本地测试它，浏览器网址为： http://localhost:8080/my_app/app/ admin.jsf

---

到目前为止，我能够确定 spring security 忽略我的角色的问题根源。拦截 url 的模式有效，不幸的是我定义的角色不起作用。

---

我终于能够找出问题所在：一位同事检查了第二个配置文件，而我修改了错误的配置文件。 grml

Answer 1

问题是配置中的模式是 URL 模式，这不是 jsf 文件或应用程序内的位置。

因此，如果您不通过以下方式访问此 jsf：http://://app/admin.jsf 那么您只需更正 URL 模式到你真正使用的网址。