Spring Security Probleme

[Dimax]

Guten Tag liebe Comunity,
Nach dem erfolgreichem Einloggen ,öffnet Spring bei mir eine Seite mit url zu dem Hintergrundbild.(http://localhost:8080/images/brickwall.png)

Das ist WebSecurityConfig:

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private DataSource dataSource;
    @Bean
    public UserDetailsService userDetailsService() {
        return new CustomUserDetailsService();
    }
     
    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService());
        authProvider.setPasswordEncoder(passwordEncoder());
         
        return authProvider;
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/").permitAll()
                .anyRequest()
                //.permitAll()
                .authenticated()
            .and()
                .formLogin()
                .loginPage("/login")
                .usernameParameter("username")
                .defaultSuccessUrl("/Start")
                .permitAll()
            .and()
                .logout()
                .logoutSuccessUrl("/")
                .permitAll();
    }
@Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.authenticationProvider(authenticationProvider());
        }
}

Wie kann man es lösen?

 

[sascha-sphw]

Das Problem ist vermutlich, dass der redirect zum Login durch den Request diese Bildes ausgelöst wird und Spring die URL dann als next redirect, für nach dem Login, speichert. Du musst also eigentlich nur den Zugang orchestrieren. Ich kenne das verhalten bei Single Page Apps, die irgendwann mal ein Asset nachladen möchte aber die Session abgelaufen ist.

Du könntest die resources aus der Security Settings nehmen (vorausgesetzt die sind nicht Schützenswert), oder über eine Art Heartbeat kontinuierlich die Session verlängern bzw. checken ob der User noch eingeloggt ist und wenn nicht entsprechend selbst auf eine Seite umleiten, bevor eine resource geladen wird.

 

[Dimax]

Danke @sascha-sphw
Ich habe ein Array gemacht

String[] resources = new String[]{
            "/", "/login","/include/**",
            "/css/**","/icons/**","/images/**","/js/**"
    };
// und hier reingesetzt
http
            .authorizeRequests()
                .antMatchers(resources).permitAll()

Die ersten Testversuche bestanden.

Du könntest die resources aus der Security Settings nehmen (vorausgesetzt die sind nicht Schützenswert),

Danke für diesen Satz.