ajax请求可以在后端跳转到其他页面吗_Spring Boot2 系列教程(三十八)Spring Security 非法请求直接返回 JSON...

关于 Spring Security，松哥之前发过多篇文章和大家聊聊这个安全框架的使用：

1. 手把手带你入门 Spring Security！
2. Spring Security 登录添加验证码
3. SpringSecurity 登录使用 JSON 格式数据
4. Spring Security 中的角色继承问题
5. Spring Security 中使用 JWT!
6. Spring Security 结合 OAuth2

不过，今天要和小伙伴们聊一聊 Spring Security 中的另外一个问题，那就是在 Spring Security 中未获认证的请求默认会重定向到登录页，但是在前后端分离的登录中，这个默认行为则显得非常不合适，今天我们主要来看看如何实现未获认证的请求直接返回 JSON ，而不是重定向到登录页面。

前置知识

这里关于 Spring Security 的基本用法我就不再赘述了，如果小伙伴们不了解，可以参考上面的 6 篇文章。

大家知道，在自定义 Spring Security 配置的时候，有这样几个属性：

@Overrideprotected void configure(HttpSecurity http) throws Exception {    http.authorizeRequests()            .anyRequest().authenticated()            .formLogin()            .loginProcessingUrl("/doLogin")            .loginPage("/login")//其他配置            .permitAll()            .and()            .csrf().disable();}

这里有两个比较重要的属性：

• loginProcessingUrl：这个表示配置处理登录请求的接口地址，例如你是表单登录，那么 form 表单中 action 的值就是这里填的值。
• loginPage：这个表示登录页的地址，例如当你访问一个需要登录后才能访问的资源时，系统就会自动给你通过重定向跳转到这个页面上来。

这种配置在前后端不分的登录中是没有问题的，在前后端分离的登录中，这种配置就有问题了。我举个简单的例子，例如我想访问 /hello 接口，但是这个接口需要登录之后才能访问，我现在没有登录就直接去访问这个接口了，那么系统会给我返回 302，让我去登录页面，在前后端分离中，我的后端一般是没有登录页面的，就是一个提示 JSON，例如下面这样：

@GetMapping("/login")public RespBean login() {return RespBean.error("尚未登录，请登录!");}

完整代码大家可以参考我的微人事项目。

也就是说，当我没有登录直接去访问 /hello 这个接口的时候，我会看到上面这段 JSON 字符串。在前后端分离开发中，这个看起来没问题(后端不再做页面跳转，无论发生什么都是返回 JSON)。但是问题就出在这里，系统默认的跳转是一个重定向，就是说当你访问 /hello 的时候，服务端会给浏览器返回 302，同时响应头中有一个 Location 字段，它的值为 http://localhost:8081/login ，也就是告诉浏览器你去访问 http://localhost:8081/login 地址吧。浏览器收到指令之后，就会直接去访问 http://localhost:8081/login 地址，如果此时是开发环境并且请求还是 Ajax 请求，就会发生跨域。因为前后端分离开发中，前端我们一般在 NodeJS 上启动，然后前端的所有请求通过 NodeJS 做请求转发，现在服务端直接把请求地址告诉浏览器了，浏览器就会直接去访问 http://localhost:8081/login 了，而不会做请求转发了，因此就发生了跨域问题。

解决方案

很明显，上面的问题我们不能用跨域的思路来解决，虽然这种方式看起来也能解决问题，但不是最佳方案。

如果我们的 Spring Security 在用户未获认证的时候去请求一个需要认证后才能请求的数据，此时不给用户重定向，而是直接就返回一个 JSON，告诉用户这个请求需要认证之后才能发起，就不会有上面的事情了。

这里就涉及到 Spring Security 中的一个接口 AuthenticationEntryPoint ，该接口有一个实现类：LoginUrlAuthenticationEntryPoint ，该类中有一个方法 commence，如下：

/** * Performs the redirect (or forward) to the login form URL. */public void commence(HttpServletRequest request, HttpServletResponse response,		AuthenticationException authException) {	String redirectUrl = null;if (useForward) {if (forceHttps && "http".equals(request.getScheme())) {			redirectUrl = buildHttpsRedirectUrlForRequest(request);		}if (redirectUrl == null) {			String loginForm = determineUrlToUseForThisRequest(request, response,					authException);if (logger.isDebugEnabled()) {				logger.debug("Server side forward to: " + loginForm);			}			RequestDispatcher dispatcher = request.getRequestDispatcher(loginForm);			dispatcher.forward(request, response);return;		}	}else {		redirectUrl = buildRedirectUrlToLoginPage(request, response, authException);	}	redirectStrategy.sendRedirect(request, response, redirectUrl);}

首先我们从这个方法的注释中就可以看出，这个方法是用来决定到底是要重定向还是要 forward，通过 Debug 追踪，我们发现默认情况下 useForward 的值为 false，所以请求走进了重定向。

那么我们解决问题的思路很简单，直接重写这个方法，在方法中返回 JSON 即可，不再做重定向操作，具体配置如下：

@Overrideprotected void configure(HttpSecurity http) throws Exception {    http.authorizeRequests()            .anyRequest().authenticated()            .formLogin()            .loginProcessingUrl("/doLogin")            .loginPage("/login")//其他配置            .permitAll()            .and()            .csrf().disable().exceptionHandling()                .authenticationEntryPoint(new AuthenticationEntryPoint() {@Overridepublic void commence(HttpServletRequest req, HttpServletResponse resp, AuthenticationException authException) throws IOException, ServletException {                resp.setContentType("application/json;charset=utf-8");                PrintWriter out = resp.getWriter();                RespBean respBean = RespBean.error("访问失败!");if (authException instanceof InsufficientAuthenticationException) {                    respBean.setMsg("请求失败，请联系管理员!");                }                out.write(new ObjectMapper().writeValueAsString(respBean));                out.flush();                out.close();            }        });}

在 Spring Security 的配置中加上自定义的 AuthenticationEntryPoint 处理方法，该方法中直接返回相应的 JSON 提示即可。这样，如果用户再去直接访问一个需要认证之后才可以访问的请求，就不会发生重定向操作了，服务端会直接给浏览器一个 JSON 提示，浏览器收到 JSON 之后，该干嘛干嘛。

结语

好了，一个小小的重定向问题和小伙伴们分享下，不知道大家有没有看懂呢？这也是我最近在重构微人事的时候遇到的问题。预计 12 月份，微人事的 Spring Boot 版本会升级到目前最新版，请小伙伴们留意哦。

1、Spring Boot2 系列教程(一)纯 Java 搭建 SSM 项目

2、Spring Boot2 系列教程(二)创建 Spring Boot 项目的三种方式

3、Spring Boot2 系列教程(三)理解 spring-boot-starter-parent

4、Spring Boot2 系列教程(四)理解配置文件 application.properties ！

5、Spring Boot2 系列教程(五)Spring Boot中的 yaml 配置

6、 Spring Boot2 系列教程(六)自定义 Spring Boot 中的 starter 7、 Spring Boot2 系列教程(七)理解自动化配置的原理

8、Spring Boot2 系列教程(八)Spring Boot 中配置 Https

9、Spring Boot2 系列教程(九)Spring Boot 整合 Thymeleaf

10、Spring Boot2 系列教程(十)Spring Boot 整合 Freemarker

11、Spring Boot2 系列教程(十一)Spring Boot 中的静态资源配置

12、Spring Boot2 系列教程(十二)@ControllerAdvice 的三种使用场景

13、Spring Boot2 系列教程(十三)Spring Boot 中的全局异常处理

14、Spring Boot2 系列教程(十四)CORS 解决跨域问题

15、Spring Boot2 系列教程(十五)定义系统启动任务的两种方式

16、Spring Boot2 系列教程(十六)定时任务的两种实现方式

17、Spring Boot2 系列教程(十七)SpringBoot 整合 Swagger2

18、Spring Boot2 系列教程(十八)Spring Boot 中自定义 SpringMVC 配置

19、Spring Boot2 系列教程(十九)Spring Boot 整合 JdbcTemplate

20、Spring Boot2 系列教程(二十)Spring Boot 整合JdbcTemplate 多数据源

21、Spring Boot2 系列教程(二十一)整合 MyBatis

22、Spring Boot2 系列教程(二十二)整合 MyBatis 多数据源

23、Spring Boot2 系列教程(二十三)理解 Spring Data Jpa

26、Spring Boot2 系列教程(二十六)Spring Boot 整合 Redis

27、Spring Boot2 系列教程(二十七)Nginx 极简扫盲入门

28、Spring Boot2 系列教程(二十八)Spring Boot 整合 Session 共享

29、Spring Boot2 系列教程(二十九)Spring Boot 整合 Redis

30、Spring Boot2 系列教程(三十)Spring Boot 整合 Ehcache

31、Spring Boot2 系列教程(三十一)Spring Boot 构建 RESTful 风格应用

32、Spring Boot2 系列教程(三十二)Spring Boot 整合 Shiro

33、Spring Boot2 系列教程(三十三)整合 Spring Security

34、Spring Boot2 系列教程(三十四)Spring Security 添加验证码

35、Spring Boot2 系列教程(三十五)SpringSecurity 使用 JSON 格式登录

36、Spring Boot2 系列教程(三十六)SpringSecurity 中角色继承的坑

37、Spring Boot2 系列教程(三十七)Spring Security 整合 JWT

喜欢就点个"在看"呗^_^