Grails如何限制URL需会员登录？拦截器/YAML及Spring Security Core方案咨询

嘿，刚好对这个熟得很！其实Spring Security Core插件本身就自带了非常完善的URL权限控制机制，完全不用你手动写拦截器的before()方法来做跳转，比自己实现靠谱多了～

1. 静态URL规则配置（最常用） #

直接在grails-app/conf/application.groovy里配置grails.plugin.springsecurity.interceptUrlMap就能搞定全局或特定URL的访问控制，举个实际的配置例子：

grails.plugin.springsecurity.interceptUrlMap = [
    // 公开可访问的资源：首页、登录登出页、静态资源
    '/':                ['permitAll'],
    '/login/**':        ['permitAll'],
    '/logout/**':       ['permitAll'],
    '/assets/**':       ['permitAll'],
    
    // 所有URL都需要登录才能访问（全局限制）
    '/**':              ['isAuthenticated()'],
    
    // 或者只限制特定路径，比如会员专属页面
    // '/member/**':       ['isAuthenticated()'],
    
    // 还能细化到角色权限，比如管理员后台
    // '/admin/**':        ['hasRole("ROLE_ADMIN")']
]

这里的规则很直观：

• permitAll：所有人都能访问，不用登录
• isAuthenticated()：必须是已登录的会员才能访问
• hasRole("ROLE_XXX")：需要拥有指定角色的用户才能访问

配置好之后，插件会自动拦截未登录用户的请求，直接跳转到你配置的登录页面，连跳转逻辑都不用自己写！

2. 注解式细粒度控制 #

如果想在控制器或方法级别做更灵活的权限控制，插件还提供了@Secured注解：

• 给整个控制器加注解，让所有方法都需要登录：

import grails.plugin.springsecurity.annotation.Secured

@Secured(['isAuthenticated()'])
class MemberCenterController {
    def index() { /* 会员首页逻辑 */ }
    def orderList() { /* 订单列表逻辑 */ }
}

• 给单个方法加注解，比如某个方法允许匿名访问：

@Secured(['permitAll'])
def publicNotice() { /* 公开公告逻辑 */ }

3. 为啥不推荐自己写拦截器？ #

插件的默认实现已经帮你处理了很多容易忽略的细节：比如登录成功后自动跳转回之前访问的页面、权限不足时的错误页面跳转、CSRF防护等等，自己写拦截器很容易漏掉这些，反而容易出bug。

最后提醒下，配置完记得重启应用，让Spring Security加载新的权限规则哦～

内容的提问来源于stack exchange，提问作者Iverson