jakarta-ee - 使用未经授权的用户进行 JAAS 登录

Question

我定义了两个用户：管理员和用户。现在，当我尝试使用不存在的用户访问管理页面时，它会将我发送回登录页面，所以没关系，但是当我尝试使用用户的用户名和密码访问管理页面时，它会将我发送到错误页面并且如果我尝试访问用户页面，它不会要求我进行身份验证。

Answer 1

这是预期的行为。用户访问受保护资源有两个阶段：

1. 身份验证——根据用户存储库验证用户凭据
2. 授权 - 检查用户是否有权访问资源。

当用户认证失败时，服务器要求再次执行认证。在表单身份验证的情况下，用户再次看到登录页面。当用户授权失败时，服务器会显示授权错误页面（通常是 HTTP 403 错误）。可以自定义错误页面。