用户登录后访问登录页面如何重定向到首页？

这是我的春季安全配置：

<http pattern="/auth/login" security="none" />
<http pattern="/auth/loginFailed" security="none" />
<http pattern="/resources/**" security="none" />

<http auto-config="true" access-decision-manager-ref="accessDecisionManager">
    <intercept-url pattern="/auth/logout" access="permitAll"/>
    <intercept-url pattern="/admin/**" access="ADMINISTRATIVE_ACCESS"/>
    <intercept-url pattern="/**" access="XYZ_ACCESS"/>

    <form-login
        login-page="/auth/login"
        authentication-failure-url="/auth/loginFailed"
        authentication-success-handler-ref="authenticationSuccessHandler" />
    <logout logout-url="/auth/logout" logout-success-url="/auth/login" />
</http>

The authenticationSuccessHandler延长了SavedRequestAwareAuthenticationSuccessHandler确保用户被重定向到他最初请求的页面。

然而，自从/auth/login被标记为security="none"，如果用户登录后访问登录页面，我无法成功将用户重定向到主页。我相信这是正确的用户体验 https://ux.stackexchange.com/questions/26100/what-should-happen-if-the-login-page-is-accessed-post-login too.

我也尝试了下面的但是Principal对象始终是null，大概是因为security="none"再次属性。

@RequestMapping(value = "/auth/login", method = GET)
public String showLoginForm(HttpServletRequest request, Principal principal) {
    if(principal != null) {
        return "redirect:/";
    }

    return "login";
}

我比上次更深入地检查了该主题，发现您必须确定用户是否在控制器中由您自己进行身份验证。行绞盘（Spring Security 开发）在这里说 http://forum.springsource.org/showthread.php?119015-Login-page-is-not-redirecting-for-logged-user:

Spring Security 不知道应用程序的内部结构 （即，如果您想让您的登录页面根据用户是否 是否已登录）。登录页面时显示您的主页 请求并且用户已登录使用SecurityContextHolder在 登录页面（或其控制器）并将用户重定向或转发到 主页。

所以解决方案是确定用户是否请求/auth/login是否匿名，如下所示。

applicationContext-security.xml:

<http auto-config="true" use-expressions="true"
        access-decision-manager-ref="accessDecisionManager">
    <intercept-url pattern="/auth/login" access="permitAll" />
    <intercept-url pattern="/auth/logout" access="permitAll" />
    <intercept-url pattern="/admin/**" access="ADMINISTRATIVE_ACCESS" />
    <intercept-url pattern="/**" access="XYZ_ACCESS" />

    <form-login login-page="/auth/login"
        authentication-failure-url="/auth/loginFailed"
        authentication-success-handler-ref="authenticationSuccessHandler" />
    <logout logout-url="/auth/logout" logout-success-url="/auth/login" />
</http>

<beans:bean id="defaultTargetUrl" class="java.lang.String">
    <beans:constructor-arg value="/content" />
</beans:bean>

<beans:bean id="authenticationTrustResolver"
        class="org.springframework.security.authentication.AuthenticationTrustResolverImpl" />

<beans:bean id="authenticationSuccessHandler"
        class="com.example.spring.security.MyAuthenticationSuccessHandler">
    <beans:property name="defaultTargetUrl" ref="defaultTargetUrl" />
</beans:bean>

Add to 应用程序上下文.xml豆定义：

<bean id="securityContextAccessor"
    class="com.example.spring.security.SecurityContextAccessorImpl" />

这是类

public final class SecurityContextAccessorImpl
      implements SecurityContextAccessor {

  @Autowired
  private AuthenticationTrustResolver authenticationTrustResolver;

  @Override
  public boolean isCurrentAuthenticationAnonymous() {
    final Authentication authentication =
        SecurityContextHolder.getContext().getAuthentication();
    return authenticationTrustResolver.isAnonymous(authentication);
  }
}

实现简单的接口

public interface SecurityContextAccessor {
  boolean isCurrentAuthenticationAnonymous();
}

(SecurityContextHolder访问代码与控制器分离，我遵循了这个答案的建议 https://stackoverflow.com/a/8765597/708434, hence SecurityContextAccessor界面。）

最后但并非最不重要的一点是控制器中的重定向逻辑：

@Controller
@RequestMapping("/auth")
public class AuthController {
  @Autowired
  SecurityContextAccessor securityContextAccessor;

  @Autowired
  @Qualifier("defaultTargetUrl")
  private String defaultTargetUrl;

  @RequestMapping(value = "/login", method = RequestMethod.GET)
  public String login() {
    if (securityContextAccessor.isCurrentAuthenticationAnonymous()) {
      return "login";
    } else {
      return "redirect:" + defaultTargetUrl;
    }
  }
}

定义defaultTargetUrlString bean 看起来像是一个 hack，但我没有更好的方法不硬编码 url...（实际上在我们的项目中我们使用<util:constant> http://static.springsource.org/spring/docs/3.1.x/spring-framework-reference/htmlsingle/spring-framework-reference.html#xsd-config-body-schemas-util-constant包含静态最终字符串字段的类。）但它毕竟有效。