代码之家 › 专栏 › 技术社区 › Mahmoud Saleh

用户授予的权限始终是:角色\匿名?

spring-security spring-mvc spring

Mahmoud Saleh · 技术社区 · 15 年前

我使用以下方法在注册后进行编程登录

private void autoLogin(User user,
            HttpServletRequest request)
    {

GrantedAuthority[] grantedAuthorities = new GrantedAuthority[] { new GrantedAuthorityImpl(
                "ROLE_ADMIN") };

        UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(
                user.getUsername(), user.getPassword(),grantedAuthorities);

        // generate session if one doesn't exist
        request.getSession();

        token.setDetails(new WebAuthenticationDetails(request));
        Authentication authenticatedUser = authenticationManager.authenticate(token);

        SecurityContextHolder.getContext().setAuthentication(authenticatedUser);
    }

用户已通过身份验证,但始终具有“匿名”角色,我不知道为什么? 有什么想法吗?

2 回复 | 直到 10 年前

axtavt 15 年前

这种行为看起来很奇怪。Javi建议手动将安全上下文持久化到会话中,但应该由Spring安全 SecurityContextPersistenceFilter .

我能想象的一个可能原因是 filters = "none" 在里面 <intercept-url> 注册处理页。

filters=“无” 禁用指定URL的所有安全筛选器。如您所见,它可能会干扰Spring安全性的其他特性。因此,更好的方法是保持过滤器处于启用状态,但将其配置为允许所有用户访问。您有几个选项:

使用的旧语法 access 属性(即没有 <http use-expressions = "true" ...> ):
- access = "ROLE_ANONYMOUS" 允许未经身份验证的用户访问,但拒绝经过身份验证的用户。
- 允许所有用户访问 access = "IS_AUTHENTICATED_ANONYMOUSLY, IS_AUTHENTICATED_FULLY, IS_AUTHENTICATED_REMEMBERED"
使用 new Spring Expression Language-based syntax ( <http使用expressions=“true”…> )你只需写 access = "true" 允许所有用户访问 <截获URL> S也应该使用这种语法)。

Javi 15 年前

我有一个类似的问题,在进行身份验证之后,我必须手动设置会话。

request.getSession().setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, SecurityContextHolder.getContext());

试试看。

推荐文章

PatPanda · 使用springboot验证请求中的列表是否为[null]

9 月前

Bojidar Kaloyanov · 为什么即使有有效的JWT,Spring Boot也会对安全端点的POST请求返回403 Forbidden?

9 月前

mikeb · Maven和Spring引导-我需要强制logback 1.5.13,但不能

9 月前

Nuñito Calzada · AWS SDK 1.12.780 Java版的凭据

9 月前

Python_user · build/lib不是由gradle build生成的

10 月前

Chirag Arora · 如何在构造函数中使用注入的依赖关系?

10 月前

sree · Spring Mongo仓库:通过传递id列表来获取对象列表

10 月前

David · 如何修复javax/xml/bind/DatatypeConverter的java.lang.NoClassDefFoundError错误

1 年前

RobertC · Spring中默认实现的Autowire接口

1 年前

molLbach · 向Spring后端发送axios post请求时出现400错误

1 年前