Bảo mật mùa xuân không thể khớp với định dạng "tham số"?

Question

tôi sử dụng lò xo an ninh để bảo đảm trang web của tôi, khi tôi đang học nó vào mùa xuân-roo tạo tập tin cấu hình trong applicationContext-security.xml, trong <http> nút:

<intercept-url pattern="/userses?form" access="hasRole('ROLE_ADMIN')" /> 

Nó có nghĩa là khi bạn muốn tạo đối tượng Người dùng, trước hết bạn cần phải đăng nhập để nhận được quyền ADMIN. Nhưng thực ra nó không hoạt động. Kiểm tra nhật ký:

2012-05-06 11:39:11,250 [http-8088-7] DEBUG org.springframework.security.web.util.AntPathRequestMatcher - Checking match of request : '/userses'; against '/userses?form' 

Khuôn khổ sử dụng/người dùng thay vì/người dùng? Để so sánh, quy trình xác thực bị bỏ qua như chuỗi không khớp. Để xác minh điều này tôi cũng thử một url:

<intercept-url pattern="/userses/abc" access="hasRole('ROLE_ADMIN')" /> 

tôi yêu cầu/userses/abc, nó phát hiện người sử dụng không được ủy quyền, và chuyển đến/trang đăng nhập, kiểm tra nhật ký:

2012-05-06 11:46:44,343 [http-8088-7] DEBUG org.springframework.security.web.util.AntPathRequestMatcher - Checking match of request : '/uesrses/abc'; against '/userses/abc' 

Vì vậy, câu hỏi của tôi là: Không hỗ trợ mùa xuân 3 "hỗ trợ" tham số "mô hình hoặc tôi bị mất một cái gì đó để cấu hình để hỗ trợ này? PS: Tất cả các mã được tạo ra bởi roo mà không sửa đổi, cũng tự hỏi tại sao nó không hoạt động.

Answer 1

Theo mặc định spring security sử dụng đối sánh kiểu kiến, không khớp với thông số. phù hợp với regex, tuy nhiên, có thể trận đấu trên các thông số

Cố gắng xác định nó như vậy:

<http request-matcher="regex"> 
    <security:intercept-url pattern="\A/userses\?form.*\Z" access="hasRole('ROLE_ADMIN')" /> 
</http> 

Không biết tại sao Roo không làm điều này tự động. Có vẻ như nó nên.

Answer 2

Hành vi đó được xác định bằng cách sử dụng "request-matcher". Như được chỉ dẫn bởi tài liệu, mặc định là "kiến", cho biết sử dụng một số AntPathRequestMatcher và một thay thế là "regex", RegexRequestMatcher. Các javadocs (được liên kết) đưa ra các chi tiết cụ thể về các trình so khớp, bao gồm thực tế là các đối sánh trước đó khớp với "servletPath + pathInfo" của yêu cầu, và sau đó phản đối "servletPath + pathInfo + queryString" của yêu cầu.