本文参考或摘录自：http://haohaoxuexi.iteye.com/blog/2154714
在上一篇中使用Spring Security做了一些安全控制，如Spring Security 自动生成登陆页面登陆以后便能正常使用系统。本文介绍Spring Security 自定义登陆页面以及相关的一些处理。
Spring Security 之form-login。
1、使用form-login 自定义登陆页
2、使用form-login做登陆引导处理，即登陆成功后定向到其他页面
3、使用form-login 登陆失败后处理
一、form-login 介绍：
form-login元素是用来定义表单登录信息，以及登陆后续处理。配置如下：
<security:http>
<!--http元素下的form-login元素用来定义表单登录信息.login-page指定用户指定的登录页-->
<!-- username-parameter：表示登录时用户名使用的是哪个参数，默认是“j_username”。
password-parameter：表示登录时密码使用的是哪个参数，默认是“j_password”。
login-processing-url：表示登录时提交的地址，默认是“/j-spring-security-check”。这个只是Spring Security用来标记登录页面使用的提交地址，真正关于登录这个请求是不需要用户自己处理的。-->
<security:form-login login-page="/login.jsp"
login-processing-url="/login.do"
username-parameter="username"
password-parameter="password"
authentication-success-handler-ref="authSuccess" --用作登陆成功后的处理bean
/> <!-- IS_AUTHENTICATED_ANONYMOUSLY 表示匿名用户可以访问,与ROLE_ANONYMOUS效果相同 --> <security:intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/> <security:intercept-url pattern="/**" access="ROLE_USER"/> </security:http>
注：<security:http security="none" pattern="/login.jsp"></security:http> 为不进行安全认证的页面。因此以上配置与以下等效：
<security:http security="none" pattern="/login.jsp"></security:http>
<!--http元素用于定义Web相关权限控制。-->
<!--intercept-url定义了一个权限控制的规则。
pattern属性表示我们将对哪些url进行权限控制，其也可以是一个正则表达式，如上的写法表示我们将对所有的URL进行权限控制；
access属性表示在请求对应的URL时需要什么权限，默认配置时它应该是一个以逗号分隔的角色列表，请求的用户只需拥有其中的一个角色就能成功访问对应的URL。
这里的“ROLE_USER”表示请求的用户应当具有ROLE_USER角色。“ROLE_”前缀是一个提示Spring使用基于角色的检查的标记。-->
<!--注：auto-config="true"时，SpringSecurity发现没有登录回自动创建登陆页面-->
<security:http>
<!--http元素下的form-login元素用来定义表单登录信息.login-page指定用户指定的登录页-->
<!-- username-parameter：表示登录时用户名使用的是哪个参数，默认是“j_username”。
password-parameter：表示登录时密码使用的是哪个参数，默认是“j_password”。
login-processing-url：表示登录时提交的地址，默认是“/j-spring-security-check”。这个只是Spring Security用来标记登录页面使用的提交地址，真正关于登录这个请求是不需要用户自己处理的。-->
<security:form-login login-page="/login.jsp"
login-processing-url="/login.do"
username-parameter="username"
password-parameter="password"
authentication-success-handler-ref="authSuccess" --用作登陆成功后的处理bean
/>
<!-- IS_AUTHENTICATED_ANONYMOUSLY 表示匿名用户可以访问,与ROLE_ANONYMOUS效果相同 -->
<!--<security:intercept-url pattern="/login.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/>-->
<security:intercept-url pattern="/**" access="ROLE_USER"/>
</security:http>
二、form-login做登陆引导处理 元素：authentication-success-handler-ref。具体配置见上配置，另外如还需使用Spring Security做登陆成功后的引导处理，还需配置如下bean.
<bean name="authSuccess" class="com.vrv.springMvcDemo.security.AuthenticationSuccessHandlerImpl"></bean>
authSuccess 的实现类代码如下：
package com.vrv.springMvcDemo.security;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.AuthenticationSuccessHandler;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
/*
*
* Created by Administrator on 2014/12/5.
*/
public class AuthenticationSuccessHandlerImpl implements AuthenticationSuccessHandler {
@Override
public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
response.sendRedirect("index.jsp");
}
}
如果不需要Spring Security进行登陆成功引导处理，直接使用指定页面则可使用default-target-url 进行配置。如下：
<security:form-login login-page="/login.jsp"
login-processing-url="/login.do"
username-parameter="username"
password-parameter="password"
default-target-url="/index.jsp"
/>
三、form-login 登陆失败后处理。配置如下：
<security:http security="none" pattern="/loginFailure.jsp"></security:http>
<security:form-login login-page="/login.jsp"
login-processing-url="/login.do"
username-parameter="username"
password-parameter="password"
default-target-url="/index.jsp"
authentication-failure-url="/loginFailure.jsp"
/>
注意：此处loginFailure.jsp需配置为不需要进行安全认证，否则此页面由于Spring Security 而不能访问
同 AuthenticationSuccessHandler 进行登陆成功处理，登陆失败除了可以指定authentication-failure-url之外，form-login同样允许我们指定认证失败后的页面和对应认证失败后的处理器AuthenticationFailureHandler。