即使在注销后也可以访问Spring安全欢迎页面

Question

我是Spring安保的新手。我在学习这个教程

http://www.mkyong.com/spring-security/spring-security-form-login-example/

一切正常，当我们请求欢迎页面时，它会重定向到登录表单，然后输入凭据后会显示欢迎page.The问题是，当我点击注销时，它会注销，但欢迎页面仍然可以访问，我们点击...@localhost /SpringSecurity2/welcome，它不要求登录。我想它与会话有关，但不知道如何解决这个问题。我还使用了delete-cookies="JSESSIONID"，但它不起作用。

我只想当用户注销并再次点击欢迎url.he应该被定向到登录表单而不是欢迎页面，因为它需要身份验证。很快需要帮助，我的安全xml如下

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security-3.0.3.xsd">

    <http auto-config="true">
        <intercept-url pattern="/welcome*" access="ROLE_USER" />
        <form-login login-page="/login" default-target-url="/welcome"
            authentication-failure-url="/loginfailed" />
        <logout 
        logout-success-url="/logout" />

    </http>

    <authentication-manager>
      <authentication-provider>
        <user-service>
            <user name="mkyong" password="123456" authorities="ROLE_USER" />
        </user-service>
      </authentication-provider>
    </authentication-manager>

</beans:beans>

Answer 1

最好的方法是通过实现< code > javax . servlet . filter 类来编写< code>SessionFilter类，如下所示。

package com.filter;
public class SessionFilter implements Filter {
    @Override
    public void destroy() {
        // TODO Auto-generated method stub

    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse res,
            FilterChain arg2) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        HttpSession session = request.getSession(false);
        if(null == session){
            response.sendRedirect("/login.html");
        }
    }

    @Override
    public void init(FilterConfig arg0) throws ServletException {
        // TODO Auto-generated method stub

    }
}

并在您的网络.xml文件中提及它，如下所示

<filter>
    <filter-name>SessionFilter</filter-name>
    <filter-class>com.filter.SessionFilter   
</filter-class>

不要忘记使用下面的语句使你的会话在注销控制器中失效

request.getSession().invalidate();

希望这能解决你的问题