如何在Spring MVC项目中移除管理员登录页且无代码扫描问题

一、控制器层：别直接删方法，先做废弃+重定向处理 #

• 不要直接删除管理员登录的控制器方法，先给方法加@Deprecated注解标记废弃，方法体内只保留重定向到系统合法入口的逻辑，比如：

  @Deprecated
  @RequestMapping("/admin/login")
  public String adminLogin() {
      // 直接跳转到首页，避免空返回或无效请求触发扫描告警
      return "redirect:/home";
  }
  

• 对应的POST请求处理方法（如果有）也照此处理：删掉所有登录认证逻辑，只留重定向，防止扫描工具检测到未授权的POST端点漏洞。

二、视图层：JSP别直接删，先替换为重定向内容 #

• 不要直接删除admin登录的JSP文件，把文件内容换成自动重定向的静态代码，比如：

  <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  <html>
  <head>
      <meta http-equiv="refresh" content="0;url=/home">
  </head>
  <body>
      页面已迁移，请等待跳转...
  </body>
  </html>
  

• 把项目里所有指向这个登录页的链接（菜单、其他页面的跳转）全换成合法入口，杜绝死链接残留，避免扫描工具报无效页面引用。

三、配置与权限：清理残留规则 #

• 检查Spring MVC配置文件（比如spring-servlet.xml），删掉针对/admin/login的视图解析、拦截器配置，避免扫描工具检测到无效配置项。
• 检查权限框架（Shiro/Spring Security）的配置，移除管理员登录页的权限规则，确保权限链里没有无效规则，防止扫描工具报权限配置漏洞。

四、扫描前的收尾处理 #

• 跑一遍单元测试，确保重定向逻辑正常，没抛出异常。
• 如果扫描工具支持白名单，把标记@Deprecated的/admin/login方法加进去，避免被误报废弃代码漏洞。
• 要是扫描工具报“无效端点”，在报告里备注该端点已废弃并完成重定向，避免被判定为安全问题。

内容的提问来源于stack exchange，提问作者Karthik