весенняя безопасность | Безопасность на уровне метода с помощью @Secured/@PreAuthorize

Я не очень хорошо знаком с DWR, но знаю, что это механизм RPC. Проблема в том, что запрос RPC, отправленный javascript на стороне клиента, не является обычным запросом страницы, инициированным пользователем, который перемещается по браузеру. Ответ на такой запрос RPC не может заставить браузер уйти с текущей страницы, потому что ответ обрабатывается вашим кодом javascript, а не браузером.

Что вы можете сделать, это:

1. Реализуйте своего рода активную аутентификацию: перенаправьте пользователя на простую страницу входа .jsp, прежде чем разрешить ему доступ к веб-приложению (URL), которое делает запросы DWR (или любого типа RPC).
2. Если AccessDeniedException, созданный удаленной процедурой, передается на сторону клиента в той или иной форме, вы можете попытаться обработать его из кода javascript, например, открыв диалоговое окно входа и отправив учетные данные пользователя в запросе AJAX. (В этом случае обязательно сохраните возвращенный идентификатор сеанса и отправьте его обратно с каждым последующим запросом.)

Мне было бы интересно увидеть остальную часть вашего файла security.xml (в частности, элемент <http>), потому что, если каждому пользователю отказано, мне кажется, что у вас есть свойство <intercept-url>, которое переопределяет вызовы вашего класс(ы) контроллера. Если нет, добавленная информация может помочь пролить свет на проблему.

Предполагая, что я далеко ушел, другой вероятной точкой ошибки может быть сам указанный access-denied-page -- если его путь является защищенным путем (то есть <intercept-url>) или если он не указан, вы можете увидеть ошибки, которые вы разговаривать.

Конечно, я тоже не знаком с DWR, поэтому я несколько очевидно предполагаю стандартную структуру Spring MVC...

Хорошо, мне не удалось выяснить, почему я получил исключение AccessDeniedException. Тем не менее, я работал над этим, пока не нашел причину. Вот несколько подходов, которые я использовал:

1) Как упоминал Zagyi, я смог передать исключение AccessDenied Exception на сторону клиента. Я мог бы создать обработчик исключений и перенаправить пользователя на страницу входа.

Однако я выбрал другой подход (который может быть не самым оптимальным, но, похоже, работает на данный момент. Вот что я сделал:

1) Создал DWRAjaxFilter и сопоставил только интересующие меня удаленные объекты. Это будет означать, что фильтр перехватывает только вызовы DWR к этим удаленным методам. Это связано с тем, что я не хочу, чтобы все открытые методы DWR использовались как для входа.

   <create creator="spring" javascript="downloadLinksAjaxService">
       <param name="beanName" value="downloadLinksAjaxService" />
       <include method="methodOne" />
       <include method="methodTwo" />  
       <filter class="com.xyz.abc.interceptor.DwrAjaxFilter"></filter>
   </create>

2) Вот фактическая реализация фильтра:

public class DwrSessionFilter implements AjaxFilter {
    public Object doFilter(final Object obj, final Method method,
            final Object[] params, final AjaxFilterChain chain)
            throws Exception {

        SecurityContext context = SecurityContextHolder.getContext();
        Authentication auth = context.getAuthentication();
        if (!auth.isAuthenticated()
                || auth.getAuthorities().contains(
                        new GrantedAuthorityImpl("ROLE_ANONYMOUS"))) {
            throw new LoginRequiredException("Login Required");
        } else {
            return chain.doFilter(obj, method, params);
        }
    }
}

3) Вот обработчик на стороне клиента:

function errorHandler(message, exception){

                if(exception && exception.javaClassName == "org.directwebremoting.extend.LoginRequiredException") {

                  document.location.reload();
                }
            }

4) Я также добавил и сопоставитель исключений для DWR, чтобы я мог преобразовывать исключения JAVA в исключения JS:

<convert match="java.lang.Exception" converter="exception">
            <param name='include' value='message'/>
        </convert> 

5) Кажется, это работает хорошо на данный момент. Я все еще тестирую это, чтобы увидеть, не сработает ли где-нибудь.

Был бы признателен за любые дополнительные материалы.