浅谈spring security 403机制

403就是access denied ，就是请求拒绝，因为权限不足

三种权限级别
一、无权限访问
<security:http security="none" pattern="/index.jsp"  />
这种即是不需要登录，也可以访问的，但是不会传csrf_key

二、匿名访问
<security:http>
<security:intercept-url pattern="/index.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
</security:http>
这种也是不需要登录就访问的，但是会传csrf_key

三、有权限访问
<security:http>
<security:intercept-url pattern="/index.jsp" access="xxxxx"/>
</security:http>
这种就需要用户登录了，而且需要相应的权限才能访问，不然就报403(access denied)

没有跳转403？
今天遇到了一个诡异的问题
admin.jsp设置为access="USER",需要用户登录了，而且需要有USER权限才能访问
然而我没登陆的时候，去访问admin.jsp，结果没有跳到403页面，跳到了login.jsp
在我预想的是，跳到403

原因
当用户已经登录了，但是权限不足，才会跳转到403
当用户没有登录的时候，访问有权限的页面，只会跳转到登陆页面

机制
spring security处理请求的时候，先会检测用户是否登录，也就是检测是否有authentication(身份)
此时，如果用户没有登录，而且请求是需要登录的action，spring security会跳转到登陆页面，就算这个页面需要权限访问，也不会出现403。
登录的时候，会在SecurityContextHolder里面放一个记录用户信息(用户名、权限)的principal，需要验证用户权限的时候，就会从SecurityContextHolder取出principal来验证权限。
如果用户已经登录了（有了authentication），如果用户的权限不足，就会报403
这个时候security:access-denied-handler才会生效

自定义403
想要自定义403，需要在spring-security.xml里面设置security:access-denied-handler
有两种方式：

指定AccessDeniedHandler
自定义一个403处理机制，需要实现AccessDeniedHandler接口，实现里面的handle方法
当权限不足的时候，spring security会调用handle方法
可以在handle方法里面重定向或者转发请求

代码demo
public class AccessDeniedServletHandler implements AccessDeniedHandler {

	private static final String DEF_ERROR_PAGE_PATH="action/deniedServlet_denied";
	
	@Override
	public void handle(HttpServletRequest request, HttpServletResponse response,
			AccessDeniedException accessDeniedException) throws IOException, ServletException {
		response.sendRedirect(DEF_ERROR_PAGE_PATH);
	}

}



在spring-security.xml配置
<security:access-denied-handler ref="accessDeniedServletHandler" />
<bean id="accessDeniedServletHandler" class="com.xxx.servlet.AccessDeniedServletHandler" scope="singleton"></bean>

指定error-page
这种方式，实际上是转发请求，做不到重定向

在spring-security.xml配置
<security:access-denied-handler error-page="403.html" />

整合Struts的问题
情景
前提：自定义的403页面的URL，是通过struts的action访问的
当权限不足的时候，将请求转发到自定义的403页面时，会出现404（ not found）
但是直接访问403页面的时候，又是正常的

原因
所以推测
spring security 的DefaultSecurityFilterChain在strust的filter之后
所以struts捕获不到请求的403页面，但是请求方式又是action，所以就找不到页面了

结论
所以这样子的话，一切spring security 处理完成后自定义跳转，都是在strust的filter之后的
像登录成功的authentication-success-handler-ref，退出的success-handler-ref以及access denied的security:access-denied-handler
所以访问action的小心的，要用重定向的方式


查看原文：http://139.129.55.235/2016/06/01/%e6%b5%85%e8%b0%88spring-security-403%e6%9c%ba%e5%88%b6/