Java：成功登录 Spring Security 后解决 403 错误

方法 1：使用基于角色的访问和 Spring Security 解决 403 错误

Java、Spring Security 和基于角色的身份验证

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register", "/js/", "/css/", "/images/").permitAll()
            .antMatchers("/search").hasAuthority("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().logoutSuccessUrl("/login?logout").permitAll();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }
}

方法 2：通过添加自定义身份验证成功处理程序来解决 403 错误

Java、Spring Security 自定义身份验证处理程序

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login")
            .successHandler(customSuccessHandler())
            .permitAll();
    }

    @Bean
    public AuthenticationSuccessHandler customSuccessHandler() {
        return (request, response, authentication) -> {
            response.sendRedirect("/search");
        };
    }
}

基于角色的访问和成功处理程序的单元测试

Spring Security 配置的 JUnit 5 单元测试

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityConfigTests {
    @Autowired
    private MockMvc mockMvc;

    @Test
    public void testAccessToSearchPageAsLoggedInUser() throws Exception {
        mockMvc.perform(formLogin().user("testUser").password("password"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrl("/search"));
    }

    @Test
    public void testAccessToRestrictedPageAsGuest() throws Exception {
        mockMvc.perform(get("/search"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrlPattern("/login"));
    }
}

基本的 Spring 安全问题和解答

1. 目的是什么 @EnableWebSecurity？
2. 这 @EnableWebSecurity 注解激活 Spring Security 的配置，从而可以控制和保护应用程序端点。
3. 怎么样 authorizeRequests 在 Spring Security 工作？
4. 这 authorizeRequests 方法指定哪些端点可以公开访问以及哪些端点需要身份验证，从而集中访问控制。
5. 为什么是 BCryptPasswordEncoder 推荐用于密码存储？
6. BCryptPasswordEncoder 使用盐对密码进行哈希处理，使其高度安全并能抵抗暴力攻击。
7. 什么是 successHandler 在登录配置中做什么？
8. 这 successHandler 定义成功登录后会发生什么。它通常用于在登录后将用户重定向到特定页面。
9. 怎么样 sessionFixation 保护用户会话？
10. 这 sessionFixation 策略在登录后重新生成会话ID，降低会话被恶意行为者劫持的风险。
11. 为什么登录成功后会出现403错误？
12. 登录后出现 403 错误通常意味着用户缺乏必要的权限，这可能是由于基于角色的配置不足所致。
13. 的作用是什么 requestMatchers 在安全配置中？
14. requestMatchers 允许指定无需身份验证即可访问的 URL 模式，例如公共页面或静态资产。
15. 如何在 Spring Security 中配置注销行为？
16. 在 Spring Security 中， logout 可以自定义方法来清除会话并在注销后将用户重定向到登录页面。
17. 能 MockMvc 用于测试安全配置？
18. 是的， MockMvc 在测试中模拟 HTTP 请求，允许验证访问控制，例如未经授权的用户的重定向。
19. 有什么作用 CustomUserDetailsService 在认证中？
20. CustomUserDetailsService 加载用户特定的数据，例如用户名和角色，允许 Spring 准确地验证凭据和访问级别。

关于 Spring 中用户访问安全的最终想法

登录后处理 403 错误通常归结为正确配置访问控制。借助 Spring Security，强大的设置可确保经过身份验证的用户只能访问允许他们查看的页面。精心设置权限可确保您的应用程序安全，同时提供流畅的用户体验。

通过实施自定义会话管理、验证用户详细信息和运行测试，您可以自信地解决大多数访问问题。 Spring Security 工具使创建高度安全的应用程序成为可能，即使您是新手。通过这些配置，可以解决403错误，保证用户无错误的登录体验。 🔒