JSF 2.0+编程身份验证=403:）

我正在过渡到GlassFish 3.1.2，似乎无法解决身份验证问题

议程很简单：我想要一个登录bean为用户进行编程身份验证。身份验证似乎有效代码通过了登录方法，但服务器最终显示为403的受保护资源。。。请帮助：

这里有更多的细节。有一个名为/pass对的纯JSF登录页面：

<ui:composition xmlns="http://www.w3.org/1999/xhtml"
    xmlns:h="http://java.sun.com/jsf/html"
    xmlns:f="http://java.sun.com/jsf/core"
    xmlns:ui="http://java.sun.com/jsf/facelets"
    xmlns:p="http://primefaces.org/ui" template="/templates/main.xhtml">

    <ui:define name="body">
        <h:form id="form">
            <p:messages />

            <p:panel>
                <h:panelGrid>
                    <h:outputText value="User Name" />
                    <p:inputText value="#{loginBean.userName}" id="userName"
                        required="true" />
                    <p:message for="userName" />

                    <h:outputText value="Password" />
                    <p:password value="#{loginBean.password}" id="password"
                        required="true" />
                    <p:message for="password" />

                </h:panelGrid>

                <h:panelGrid columns="2">
                    <p:commandButton value="Clear"
                        actionListener="#{loginBean.clear()}" ajax="false" />

                    <p:commandButton value="Login" action="#{loginBean.login()}"
                        ajax="false" />
                </h:panelGrid>
            </p:panel>
        </h:form>
    </ui:define>
</ui:composition>

这是我的web.xml

<?xml version='1.0' encoding='UTF-8'?>

<web-app version="3.0" xmlns="http://java.sun.com/xml/ns/javaee"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">

    <display-name>GM</display-name>

    <context-param>
        <param-name>javax.faces.PROJECT_STAGE</param-name>
        <param-value>Development</param-value>
    </context-param>

    <!-- Faces Servlet -->
    <servlet>
        <servlet-name>Faces Servlet</servlet-name>
        <servlet-class>javax.faces.webapp.FacesServlet</servlet-class>
        <load-on-startup>1</load-on-startup>
    </servlet>

    <servlet-mapping>
        <servlet-name>Faces Servlet</servlet-name>
        <url-pattern>*.xhtml</url-pattern>
    </servlet-mapping>

    <login-config>
        <realm-name>gmRealm</realm-name>
    </login-config>

    <security-role>
        <role-name>user</role-name>
    </security-role>

    <security-role>
        <role-name>admin</role-name>
    </security-role>

    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Protected Area</web-resource-name>
            <url-pattern>/list/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>user</role-name>
        </auth-constraint>
    </security-constraint>

    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Admin Area</web-resource-name>
            <url-pattern>/admin/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>admin</role-name>
        </auth-constraint>
    </security-constraint>

    <welcome-file-list>
        <welcome-file>login.xhtml</welcome-file>
    </welcome-file-list>

</web-app>

尽管服务器日志包含以下消息：

INFO: Logged in successfully: nick

还请注意，当我从login方法的返回值中删除？faces redirect=true时，初始受保护的资源在登录后立即呈现良好状态，但所有后续对它的请求都以403失败

以下是它在调试器中显示的内容：

我还认为我已经完成了我的家庭作业：

---

请帮助…

哦，好吧，我想这一个太具体了。我最终在春季为Tomcat stack重新制作了原型。就像现在的魅力：。

我认为在spring安全中不允许使用jsf资源。在http标记的security.xml中添加以下行

<http .........>
    <intercept-url pattern="/javax.faces.resource/**" access="permitAll"/>
</http>

---

您是否尝试过在没有列表的情况下返回list/list.xhtml？faces redirect=true？或者在没有列表的情况下返回list.xhtml？faces redirect=true？另外，请显示您的文件夹结构，以查看导航规则中是否存在问题。谢谢您的建议。尝试了这两种方法后，list/list.xhtml给出了相同的403，而list.xhtml给出了对于操作“{loginBean.login}”和结果“list.xhtml？faces redirect=true”的从视图id“/login.xhtml”找不到匹配的导航大小写。您的约束配置表明具有admin角色的用户无权访问列表目录。这是你想要的吗？如果不是，你应该在受保护区域约束中添加管理员角色。谢谢你指出这一点，Matt。管理员实际上是数据管理员，不一定需要列表功能。我担心使用正确的角色映射的经过身份验证的用户会被拒绝访问。我最担心的是我找不到问题所在：

INFO: Logged in successfully: nick

<http .........>
    <intercept-url pattern="/javax.faces.resource/**" access="permitAll"/>
</http>