如何在Spring MVC中返回403 Forbidden？

Question

我希望我的控制器在用戶缺少查看特定頁面的權限時返回正確的HTTP響應代碼。

Answer 1

晨間

如果使用普通的JSP視圖（如最常見的），那麼只需添加

<% response.setStatus(403); %> 

某處你的視圖文件。頂部是一個不錯的地方。

詳細

在MVC中，我總是設置此視圖，在大多數情況下與Spring-MVC，使用SimpleMappingExceptionResolver提出正確的觀點響應拋出運行時異常。

例如：在控制器或服務層中創建並投入PermissionDeniedException，並讓異常解析器指向視圖文件permissionDenied.jsp。該視圖文件設置403狀態並向用戶顯示適當的消息。

在你的Spring bean的XML文件：

<bean id="exceptionResolver" 
     class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver"> 
    <property name="exceptionMappings"> 
    <props> 
     <prop key="PermissionDeniedException">   
     rescues/permissionDenied 
     </prop> 
     ... set other exception/view mappings as <prop>s here ... 
    </props> 
    </property> 
    <property name="defaultErrorView" value="rescues/general" /> 
</bean> 

<bean id="viewResolver" 
     class="org.springframework.web.servlet.view.InternalResourceViewResolver"> 
    <property name="viewClass" value="org.springframework.web.servlet.view.JstlView" /> 
    <property name="prefix" value="/WEB-INF/views/" /> 
    <property name="suffix" value=".jsp" /> 
</bean> 

如果需要實現用戶登錄機制，看看Spring Security（以前Acegi安全）。

Answer 2

你可以使用response.setStatus（403）嗎？

Answer 3

使用ExceptionResolver是一個很好的選擇，但如果您只是希望這是一個獨立於視圖的環境，那麼您肯定可以在Controller中撥打response.sendError(HttpServletResponse.SC_FORBIDDEN, "AdditionalInformationIfAvailable");。

Answer 4

創建一個例外註釋，例如@ResponseStatus例如像這樣：

@ResponseStatus(HttpStatus.FORBIDDEN) 
public class ForbiddenException extends RuntimeException { 
} 

現在只是把你的處理方法異常和響應將有狀態403

Answer 5

您也可以只是把

org.springframework.security.access.AccessDeniedException("403 returned"); 

這在響應中返回一個403頭。