会话过期时的授权重定向不适用于提交JSF表单，页面保持不变

Question

我正在使用JSF2。我已经实现了这样的自定义面孔servlet：

public class MyFacesServletWrapper extends MyFacesServlet {
    // ...
}

其中，我正在进行一些授权检查，并在用户未登录时发送重定向：

public void service(ServletRequest request, ServletResponse response) {
    HttpServletRequest req = (HttpServletRequest) request;
    HttpServletResponse res = (HttpServletResponse) response;

    if (...) {
        String loginURL = req.getContextPath() + "/LoginPage.faces";
        res.sendRedirect(loginURL);
    }
}

当用户尝试导航到另一个页面时，此操作有效。但是，当JSF表单通过JSF命令链接/按钮提交时，这就不起作用了。命中并执行行sendReDirect（），没有引发异常，但用户停留在同一页。基本上，没有任何视觉变化。

为什么这在页面导航上有效，而在表单提交上无效？

Answer 1

FacesContext。getCurrentInstance（）。getExternalContext（）。重定向（“newpage.xhtml”）；试试这个。。。。代替res.sendredirect（cpath）。

Answer 2

您的具体问题最有可能是因为您的JSF命令链接/按钮实际上正在发送一个ajax请求，该请求反过来需要一个特殊的XML响应。如果您发送重定向作为对ajax请求的响应，那么它只是将ajax请求重新发送到该URL。如果没有反馈，这反过来会失败，因为重定向URL返回整个超文本标记语言页面，而不是特殊的XML响应。实际上，您应该返回一个特殊的XML响应，其中JSF ajax引擎被指示更改当前的window.location。

但实际上，你还有更大的问题：在工作中使用错误的工具。您应该为作业使用servlet过滤器，而不是一个自行开发的servlet，当然也不能取代负责所有JSF工作的FacesServlet。

假设您在请求/视图范围的JSF支持bean中执行登录，如下所示（如果您使用容器托管身份验证，请参阅使用j_security_check在JavaEE/JSF中执行用户身份验证的第二个示例）：

externalContext.getSessionMap().put("user", user);

然后，过滤器的启动示例应执行以下操作：

@WebFilter("/*") // Or @WebFilter(servletNames={"facesServlet"})
public class AuthorizationFilter implements Filter {

    private static final String AJAX_REDIRECT_XML = "<?xml version=\"1.0\" encoding=\"UTF-8\"?>"
        + "<partial-response><redirect url=\"%s\"></redirect></partial-response>";

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws ServletException, IOException {    
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        HttpSession session = request.getSession(false);
        String loginURL = request.getContextPath() + "/login.xhtml";

        boolean loggedIn = (session != null) && (session.getAttribute("user") != null);
        boolean loginRequest = request.getRequestURI().equals(loginURL);
        boolean resourceRequest = request.getRequestURI().startsWith(request.getContextPath() + ResourceHandler.RESOURCE_IDENTIFIER + "/");
        boolean ajaxRequest = "partial/ajax".equals(request.getHeader("Faces-Request"));

        if (loggedIn || loginRequest || resourceRequest)) {
            if (!resourceRequest) { // Prevent browser from caching restricted resources. See also https://stackoverflow.com/q/4194207/157882
                response.setHeader("Cache-Control", "no-cache, no-store, must-revalidate"); // HTTP 1.1.
                response.setHeader("Pragma", "no-cache"); // HTTP 1.0.
                response.setDateHeader("Expires", 0); // Proxies.
            }

            chain.doFilter(request, response); // So, just continue request.
        }
        else if (ajaxRequest) {
            response.setContentType("text/xml");
            response.setCharacterEncoding("UTF-8");
            response.getWriter().printf(AJAX_REDIRECT_XML, loginURL); // So, return special XML response instructing JSF ajax to send a redirect.
        }
        else {
            response.sendRedirect(loginURL); // So, just perform standard synchronous redirect.
        }
    }

    // ...
}

• 使用JSF2.0/Facelets，有没有办法将全局侦听器附加到所有AJAX调用
• FullAjaxExceptionHandler未在ajax按钮上显示会话过期错误页面