SpringSecurityでログイン機能を動作させるとstaticフォルダにアクセスできない。

Question

SpringSecurityによるログイン認証機能のためstaticフォルダにアクセスできなくなりました。
いろいろと修正を試しましたが読み込みに成功しません。ぜひともご意見いただけるとありがたいです。

現在のファイル配置は

以上のようになっています。

ログイン認証取り付け前は

<link th:href="@{/css/color.css}" rel="stylesheet"/>

上記コードのようにアクセスすれば良かったのでアクセスさきはこのままでよいと思います。
HTMLとして書き出されるとhttp://localhost:8080/css/colorになります。

SpringSecurityによるログイン認証設置後にstaticフォルダにアクセスできなくなりました。
HTMLからのリンク、直接のアクセスどちらも失敗します。

WebSecurityConfigurerAdapterを継承したクラスは以下のように設定しています。

DemoSecurityConfig.java

@Configuration
@EnableWebSecurity
public class DemoSecurityConfig extends WebSecurityConfigurerAdapter {
	
	@Autowired
	private UserInfoService userInfoService;
	
	@Override
	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
                //独自認証を設定
		auth.authenticationProvider(createAuthProvider());
		
	}	
	
	private AuthenticationProvider createAuthProvider() {
		DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
　　　　　　　　　//user_infoテーブルのemailとpasswordで判定
		authProvider.setUserDetailsService(userInfoService);
		authProvider.setPasswordEncoder(new BCryptPasswordEncoder());
		
		return authProvider;
	}
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {

		http.authorizeRequests()
				.antMatchers("/register/**").permitAll()//**はそれより下の階層全て
				.anyRequest().authenticated()
			.and()
			.formLogin()
				.loginPage("/showMyLoginPage")
				.loginProcessingUrl("/authenticateTheUser")
				.permitAll()
			.and()
			.logout().permitAll()
			.and()
			.exceptionHandling().accessDeniedPage("/access-denied");
		
	}
	
	@Override
	public void configure(WebSecurity web) {
　　　　　　　　　//ログイン認証前でもアクセスできるように設定できるらしいが動作していない
		web.ignoring().antMatchers("/css/**", "/js/**", "/img/**","/bootstrap/**");
	}
	
}

また、WebMvcConfigurerを実装したクラスは以下のようになっています。
WebMvcConfig.java

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

	@Override
    public void configureDefaultServletHandling(DefaultServletHandlerConfigurer configurer) {
　　　　//デフォルトルートパスを使用
        configurer.enable();
    }
	
	@Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
　　　　//ハンドラーでstaticコンテンツにアクセスできるようにする　動作していない
        registry.addResourceHandler("/resources/**").addResourceLocations("/resources/");
        // to serve static .html pages...
        registry.addResourceHandler("/static/**").addResourceLocations("/resources/static/");
    }
}

SpringSecurityを動作させたときにスタティックコンテンツにアクセスするにはこのほかにどのような設定が必要でしょうか。もしくはコードに間違いがあるのでしょうか。

Comments

[退会済みユーザー]

なんとなくだが DemoSecurityConfig を実装してからじゃなく、WebMvcConfig を実装してからじゃね

Answer 1

CSSやJavascriptだからといって SpringSecurityの対象外になるわけではないので認証が不要なら明示的に指定する必要があります。

http.authorizeRequests().antMatchers("/css/**","/js/**","/img/**").permitAll();

ですね

Comments

[spring_boot]

ありがとうございます。
試してみたのですがantMatchers()ではアクセスできないようです。
こちらはControllerのマッピングに対応するものでしょうか。

解決法が見つかりましたので質問に追加しておきます。
ご回答誠にありがとうございました！

[euledge]

解決できて良かったです。

[spring_boot]

いただいたアイデアも参考になりました！
ドキュメントが頼りなく（？）何が正解か分からないのですべて動作させてみないと分かりませんでした。
Spring MVCの中ではResourceHandlerRegistryを使うのが正攻法のようです。

[退会済みユーザー]

基本それ不要だけどね、以下で標準実装している。
WebSecurityConfigurerAdapter#configure(WebSecurity web)

ちなみに「404 エラー」、「401エラー」で先に見分ける必要がある。

[spring_boot]

ご回答ありがとうございます。
configurer.enable();は無くても動作しました。

registry.addResourceHandler("/**").addResourceLocations("/resources/static/");
こちらは加えておかないと404が発生してしまいます。

[退会済みユーザー]

クラス内の記述を削除じゃなくクラス自体を消してみそ

[spring_boot]

WebMvcConfigをクラスファイルごと消しましたが、staticフォルダ内が読みこめなくなりました。
もともとここからのスタートだったので。本来、WebSecurityConfigurerAdapterの継承で十分なんですね。他で設定をいじっていないのですが何故か読み込みができません。

[退会済みユーザー]

とすると、他の設定で潰されてるな
基本的にそのクラスを拡張・実装するときって

https://github.com/spring-projects/spring-boot/blob/ca0de4385c01cbbd120e96ec9f83427fb48c9a15/spring-boot-project/spring-boot-autoconfigure/src/main/java/org/springframework/boot/autoconfigure/security/StaticResourceLocation.java

にないリソースを公開する場合なんだよね

[spring_boot]

なるほど！ありがとうございます。
明日再び調べて解決策を修正しておきます。

Answer 2

解決しました。

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

	@Override
    public void configureDefaultServletHandling(DefaultServletHandlerConfigurer configurer) {
        configurer.enable();
    }
	
	@Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {

        registry.addResourceHandler("/**").addResourceLocations("/resources/static/");
    }
}

あと一歩のところまで来ていたようです。
addResourceHandler("/static/**")にしてしまうと、リンクにstaticを含めなくてはならなくなるので取り除きました。これで動作しました。

DispatcherServletとデフォルトサーブレットの併用

上記記事が関係しているようです。

Comments

[退会済みユーザー]

ちなみに、正答はそのクラスを実装しない