5

Tengo un pequeño proyecto muy simple para trastear un poco spring security. El proyecto está montado sobre spring MVC, solo es el cascarón no tiene mayor complicación que hacer lo más sencillo.

Le metí spring security y todo me funcionó bien, solo que noto que las vistas que indique deben protegerse aunque se muestran correctamente en todos las URLs les antepone un prefijo, el cual el único lugar donde lo defino es en el filtro en el contexto de security:

<http auto-config="true">
   <intercept-url pattern="/admin/**" access="ROLE_USER" />
</http>

Y el controlador correspondiente me devuelve correctamente la vista, pero todos las URLs aparecen antecedidas por /admin/ por lo que los controladores que no responden al patrón /admin/ sencillamente no están accesibles.

Por ejemplo, tengo un controlador que responde a /consultadatos pero en la vista protegida aunque la URL está codificada como /consultadatos la página renderizada sale como /admin/consultadatos.

5
  • Podrias mostrar tu controlador que mencionas
    – jasilva
    el 28 dic. 2015 a las 22:03
  • Quizá si cambias el pattern a /** no te agrege el admin delante
    – Raider
    el 5 ene. 2016 a las 11:26
  • Deberias agregar un poco mas de detalles de tu configuracion, podrias postear completo tu web.xml el 9 ene. 2016 a las 9:21
  • Resolví momentáneamente el problema usando una variable que me devuelve el url del contexto de la aplicación de manera que siempre obtengo el url correcto que si podran procesar los controladores. Si utilizo el patron "/**" voy a proteger todas las urls y lo que se busca es proteger solo algunas y de acuerdo con diferentes roles.
    – AzidRain
    el 20 ene. 2016 a las 20:17
  • A falta de revisar la doc de spring-security me suena que con el atributo auto-config ya tienes activadas algunas reglas, has probado a añadir una entrada tal que : <intercept-url pattern="/**" access="permitAll" /> o algo similar?
    – ITomas
    el 4 feb. 2016 a las 15:37

1 respuesta 1

2

Estas realizando autorización basada en roles, necesitas configurar la autorización de otros recursos para todo el mundo como por ejemplo a index, login y logout que es bastante habitual y luego a la parte admin solo a los usuarios, eso seria asi:

<http auto-config="true">
  <intercept-url pattern="/" access="ROLE_ANONYMOUS,ROLE_USER"/>
  <intercept-url pattern="/login/*" access="ROLE_ANONYMOUS,ROLE_USER"/>
  <intercept-url pattern="/logout" access="ROLE_ANONYMOUS,ROLE_USER"/>
  <intercept-url pattern="/admin/**" access="ROLE_USER"/>
  .....

Esto haria que cualquiera pudiera acceder a la pagina index, a la de login y a la de logout y solo a las de admin los usuarios con rol ROLE_USER

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.