春のセキュリティセッションのタイムアウト

Question

私は春のセキュリティ4.1を使用しています。私が直面する問題は、ログインしようとしたときに、セッションが期限切れのページに数回戻されることです。私はorg.springframework.security.web.session.HttpSessionEventPublisher を追加することでも自分のHttpSessionListenerを追加するなどの複数のものを試してみましたが、セッションが期限切れ続けます。そのような動作の説明を質問の1つで読んでください。 「Spring Securityではセッションを無効にすることができます（ログイン後、新しいHttpSessionを取得するなど）。 Fiddlerツールを使用して何が起こっているかを確認しました。ユーザーは認証されていますが、セッションが切れたページにすぐにリダイレクトされています。私は、同じユーザーが自分の望む回数だけログインできるようにしたい。私は春3.xに移行するのに役立ついくつかの場所を読みましたが、古いバージョンの春が使用された場合にはそうかもしれないと思います。 をお勧めします。ですから、LogoutHandlerLogoutFilterへのハンドラを実装し、顧客のログアウト・ハンドラを追加する必要が

<http auto-config="true" use-expressions="true" 
    authentication-manager-ref="authenticationManager"> 
    <session-management 
    invalid-session-url="/login?eventType=sessionTimedOut" 
    session-fixation-protection="none" 
    /> 
    <intercept-url pattern="/login" access="permitAll" /> 

    <intercept-url pattern="/*"  access="hasAnyAuthority('FF_USER','FF_ADMIN')" /> 

    <form-login login-page="/login" 
     authentication-success-handler-ref="authenticationSuccessHandler" 
     authentication-failure-handler-ref="customAuthenticationFailureHandler" 
     login-processing-url="/j_spring_security_check" 
     username-parameter="j_username" 
     password-parameter="j_password" 
     /> 

    <logout invalidate-session="false" logout-success-url="/login?eventType=logout" 
     logout-url="/j_spring_security_logout" delete-cookies="JSESSIONID"/> 

    <csrf token-repository-ref="csrfTokenRepository" /> 

</http> 

<beans:bean id="csrfTokenRepository" 
    class="org.springframework.security.web.csrf.HttpSessionCsrfTokenRepository"> 
    <beans:property name="headerName" value="X-XSRF-TOKEN" /> 
</beans:bean> 

<beans:bean id="authenticationSuccessHandler" class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler"> 
    <beans:property name="defaultTargetUrl" value="/home"/> 
    <beans:property name="alwaysUseDefaultTargetUrl" value="true"/> 
</beans:bean> 

<beans:bean id="customAuthenticationFailureHandler" class="*.*.CustomAuthenticationFailureHandler"> 
    <beans:property name="defaultFailureUrl" value="/login?eventType=error"></beans:property> 
    <beans:property name="baseFailureUrl" value="/login?eventType=error"></beans:property> 
</beans:bean> 

<beans:bean id="authenticationManager" 
    class="org.springframework.security.authentication.ProviderManager"> 
    <beans:constructor-arg> 
     <beans:list> 
      <beans:ref bean="ldapAuthenticationProvider" /> 
     </beans:list> 
    </beans:constructor-arg> 
    <beans:property name="eraseCredentialsAfterAuthentication" 
     value="true" /> 
</beans:bean> 

Answer 1

<http> 
    <logout delete-cookies="JSESSIONID" /> 
    </http> 

Unfortunately this can't be guaranteed to work with every servlet container, so you will need to test it in your environment[8].

ありがとうございました。

<http auto-config="true" use-expressions="true" authentication-manager-ref="authenticationManager"> 
... 
<custom-filter ref="logoutFilter" position="LOGOUT_FILTER" /> 
... 
</http> 


<bean id="logoutFilter" class="org.springframework.security.web.authentication.logout.LogoutFilter"> 
     <constructor-arg name="logoutSuccessUrl" value="/login?eventType=logout" /> 
     <!-- implement LogoutHandler, Websphere log out --> 
     <constructor-arg name="handlers" ref="{customer logout }" /> 
     <property name="filterProcessesUrl" value="/j_spring_security_logout" /> 
</bean>