Spring Security taglibsを使用中に404ページに例外をマッピング

Question

例外を404ページにマッピングすると、Spring Securityタグはセキュリティコンテキストから認証情報を見つけることができません。 「本当の」404で、認証が見出される。

私のweb.xml：JSPオン

<error-page> 
    <exception-type>com.example.NotFoundException</exception-type> 
    <location>/app/404</location> 
</error-page> 

<error-page> 
    <error-code>404</error-code> 
    <location>/app/404</location> 
</error-page> 

私が持っている：

<sec:authorize access="hasRole('ROLE_USER')"> 
    <%-- Show navigation links --%> 
</sec:authorize> 
<sec:authorize access="isAnonymous()"> 
    <%-- Show login form --%> 
</sec:authorize> 

/app/404パスがちょうどビューを返しコントローラにマッピングされています。 /foo/some_invalid_idを参照すると、コントローラからNotFoundExceptionがスローされ、最終的にJSPに行くとSecurityContextで認証が見つからず、2つのオプションのどちらもレンダリングされません。代わりに、私が/something_that_really_doesnt_existにブラウズしているとき、私がログインしているかどうかを把握して、適切なHTMLをレンダリングすることができます。

Answer 1

は、あなたの春のセキュリティフィルタマッピングに次の2つのディスパッチャの要素を追加します。デフォルトでは

<filter-mapping> 
    ... 
    <dispatcher>REQUEST</dispatcher> 
    <dispatcher>ERROR</dispatcher> 
</filter-mapping> 

は唯一の普通の要求は、定義されたフィルタマッピングを通過します。

「INCLUDE」と「FORWARD」は、2つの有効なディスパッチャ要素の値です。

Answer 2

例外処理中にコードの一部のコンポーネントがHttpSession.invalidate()を呼び出している可能性が最も高いケースです。簡単なデバッグでこれを簡単に見つけることができます。

しかし、実際にはisAnonymous()をチェックする必要はありません - 持っていないユーザーをチェックするために十分であるROLE_USER権限：

で

• 春のセキュリティ2：あなたは<sec:authorize>タグのareNotGranted属性を使用することができます（参照春のセキュリティ3ではSpring Security 2 documentation
• ：あなたが否定的条件の評価のための春ELを使用することができます。access="!hasRole('ROLE_USER')"