限制直接访问 JSP 页面（Spring MVC）

有两种方法。第一个是根本不使用 url 类型/home/<username>，而是简单地使用而不是使用它们/home，在其上挂一个只为当前用户提供内容的控制器。第二种是为未经身份验证的用户返回HTTP 403错误并重定向到登录表单或为未经授权的用户返回HTTP 401。使用Spring Security，可以这样做：

@Controller
@RequestMapping("/home")
public class HomeController {
    @RequestMapping(path = "/{userName}", method = RequestMethod.GET)
    @PreAuthorize("authentication.name == #userName")
    public String userHome(@PathVariable("userName") String userName, Model uiModel) {
        return "user_home";
    }
}