Vaadin登录后隐藏页面：如何实现未登录用户专属页面控制？

问题背景 #

在Vaadin Spring应用中，可通过@RolesAllowed、@AnonymousAllowed注解实现基于角色的页面访问控制，但官方未提供类似@RolesNotAllowed的“否定式”注解，无法直接阻止已登录用户访问注册页这类仅面向匿名用户的页面。此前尝试过从菜单移除页面（但用户仍可通过URL直接访问）、使用RouteConfiguration移除路由（无效果），需要完整的解决方案。

官方角色控制示例 #

@Route(value = "admin", layout = MainView.class)
@PageTitle("Admin View")
@RolesAllowed("ADMIN") // 仅拥有ADMIN角色的用户可访问
public class AdminView extends VerticalLayout {
    // ...
}

设想的@RolesNotAllowed用法（该注解不存在） #

@Route(value = "register", layout = MainView.class)
@PageTitle("Register as a new user")
@RolesNotAllowed({"ADMIN", "USER"}) // 期望阻止已登录的ADMIN/USER用户访问
public class RegisterView extends VerticalLayout {
    // ...
}

无效的路由移除尝试 #

Optional<User> maybeUser = authenticatedUser.get();
if (maybeUser.isPresent()) {
    RouteConfiguration configuration = RouteConfiguration.forSessionScope();
    configuration.removeRoute(RegisterView.class);
}

可行解决方案 #

方案一：结合Spring Security拦截URL（最简便） #

利用Spring Security的URL权限配置，直接限制注册页仅匿名用户可访问，已登录用户访问会被自动重定向：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends VaadinWebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        // 配置/register路径仅允许匿名用户访问
        http.authorizeRequests()
                .antMatchers("/register").anonymous()
                .anyRequest().authenticated();
    }
}

方案二：自定义@RolesNotAllowed注解 + 全局路由拦截 #

如果需要更灵活的角色否定控制，可以自定义注解并配合全局路由拦截：

1. 自定义注解

@Target({ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface RolesNotAllowed {
    String[] value();
}

2. 实现全局路由拦截器

@Component
public class RolesNotAllowedInterceptor implements BeforeEnterListener {

    @Autowired
    private Authentication authentication;

    @Override
    public void beforeEnter(BeforeEnterEvent event) {
        Class<?> targetView = event.getNavigationTarget();
        RolesNotAllowed annotation = targetView.getAnnotation(RolesNotAllowed.class);
        
        if (annotation != null && authentication.isAuthenticated()) {
            // 检查当前用户是否包含被禁止的角色
            boolean hasForbiddenRole = Arrays.stream(annotation.value())
                    .anyMatch(role -> authentication.getAuthorities().stream()
                            .anyMatch(auth -> auth.getAuthority().equals("ROLE_" + role)));
            
            if (hasForbiddenRole) {
                // 重定向到首页或其他指定页面
                event.rerouteTo(MainView.class);
            }
        }
    }
}

3. 在目标视图上使用注解

@Route(value = "register", layout = MainView.class)
@PageTitle("Register as a new user")
@RolesNotAllowed({"ADMIN", "USER"})
public class RegisterView extends VerticalLayout {
    // ...
}

方案三：单个视图内实现访问控制 #

如果仅需针对个别页面处理，可在视图类中实现BeforeEnterObserver接口，在路由进入前检查用户状态：

@Route(value = "register", layout = MainView.class)
@PageTitle("Register as a new user")
@AnonymousAllowed // 先允许匿名用户访问
public class RegisterView extends VerticalLayout implements BeforeEnterObserver {

    @Autowired
    private Authentication authentication;

    @Override
    public void beforeEnter(BeforeEnterEvent event) {
        // 若用户已登录，直接重定向到首页
        if (authentication.isAuthenticated()) {
            event.rerouteTo(MainView.class);
        }
    }

    // ... 视图业务代码
}

关于RouteConfiguration无效的说明 #

RouteConfiguration.forSessionScope()用于会话级路由配置，但Vaadin的核心路由注册在应用启动时已完成，会话级移除无法覆盖全局路由规则，因此无法有效阻止用户通过URL访问页面，不推荐使用该方式。

内容的提问来源于stack exchange，提问作者Frank