JHipster应用中HTML端点/sites的认证拦截问题求助

核心问题分析 #

你遇到的问题是未认证时访问/sites前端页面不跳转登录页，本质是前端路由未被拦截，或后端安全规则未正确匹配该路径。JHipster的前端页面路由由前端框架（Angular/React）在浏览器端处理，后端会把所有非API请求转发到index.html，所以单纯在后端加规则可能因顺序或配置问题不生效，另外前端路由守卫可能缺失。

解决方案步骤 #

1. 修正后端Security配置的规则顺序 #

Spring Security的antMatchers按从上到下的顺序匹配，如果泛化规则（比如/api/**）放在具体规则前面，会导致具体规则被忽略。你需要把/sites的认证规则放在/api/**之前，同时确保所有未匹配的请求都需要认证：

修改configure(HttpSecurity)中的authorizeRequests部分：

.and()
    .authorizeRequests()
    .antMatchers("/api/authenticate").permitAll()
    .antMatchers("/api/register").permitAll()
    .antMatchers("/api/activate").permitAll()
    .antMatchers("/api/account/reset-password/init").permitAll()
    .antMatchers("/api/account/reset-password/finish").permitAll()
    .antMatchers("/api/admin/**").hasAuthority(AuthoritiesConstants.ADMIN)
    .antMatchers("/sites").authenticated() // 移到/api/**前面
    .antMatchers("/api/**").authenticated()
    .antMatchers("/management/**").permitAll()
    .anyRequest().authenticated(); // 新增：确保所有其他页面请求都需要认证

2. 检查SecurityProblemSupport的认证入口处理 #

你配置了authenticationEntryPoint(problemSupport)，JHipster默认的SecurityProblemSupport会区分AJAX和HTML请求：

• 对AJAX请求返回401
• 对HTML请求重定向到登录页

如果这个类被修改过，可能导致HTML请求没有触发重定向。可以查看SecurityProblemSupport的commence方法，确保逻辑如下：

@Override
public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException {
    if (isAjaxRequest(request)) {
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, authException.getMessage());
    } else {
        response.sendRedirect("/login");
    }
}

private boolean isAjaxRequest(HttpServletRequest request) {
    return "XMLHttpRequest".equals(request.getHeader("X-Requested-With"));
}

3. 前端路由守卫配置（关键） #

JHipster正常项目（比如你的应用B）通常是前端路由守卫拦截未认证请求，而非完全依赖后端。以Angular为例，需要给/sites路由添加AuthGuard：

打开前端的app-routing.module.ts，修改路由配置：

import { AuthGuard } from './shared/auth/auth.guard';

const routes: Routes = [
  { path: 'login', component: LoginComponent },
  // 给sites路由添加canActivate守卫
  { path: 'sites', component: SitesComponent, canActivate: [AuthGuard] },
  // 其他路由配置...
];

React项目的话，需要使用类似的路由守卫（比如PrivateRoute组件），确保未登录用户访问/sites时跳转到登录页。

4. 为什么找不到/sites对应的后端Controller？ #

JHipster的前端页面是单页应用（SPA），/sites是前端路由，不需要后端Controller处理。后端会把所有匹配不到API的请求转发到index.html，由前端框架在浏览器端解析路由并渲染页面，所以你找不到对应的后端Controller是正常的。

应用B的实现推测 #

应用B能正常拦截，大概率是前端路由配置了守卫，同时后端Security规则顺序正确。你可以对比应用B的前端路由配置文件，查看是否给对应页面路由添加了认证守卫。

内容的提问来源于stack exchange，提问作者Herr_Chirurg