使用Spring Security性捕获注销/会话超时

Question

我使用的是spring/spring-security 3.1，希望在用户注销时（或者会话超时）采取一些操作。我设法完成了注销的操作，但对于会话超时，我无法使其工作。

    <security:http auto-config="false" use-expressions="false">
    <security:intercept-url pattern="/dialog/*"
        access="ROLE_USERS" />
    <security:intercept-url pattern="/boa/*"
        access="ROLE-USERS" />
    <security:intercept-url pattern="/*.html"
        access="ROLE-USERS" />

    <security:form-login login-page="/auth/login.html"
        default-target-url="/index.html" />
    <security:logout logout-url="/logout"
         invalidate-session="true"
        delete-cookies="JSESSIONID" success-handler-ref="logoutHandler" />
</security:http>

<bean id="logoutHandler" class="com.bla.bla.bla.LogoutHandler">
    <property name="logoutUrl" value="/auth/logout.html"/>
</bean>

处理它的一种方法是在用户登录时将用户名注入会话，然后使用普通的httpsessionlistener，并在会话超时时执行相同的操作。

spring security是否有类似的方法，以便当spring发现会话要超时时，我可以挂接在那里，访问身份验证，从那里获取用户详细信息，并进行清理。

Answer 1

我有个更简单的解决办法。这对注销和会话超时都有效。

@Component
public class LogoutListener implements ApplicationListener<SessionDestroyedEvent> {

    @Override
    public void onApplicationEvent(SessionDestroyedEvent event)
    {
        List<SecurityContext> lstSecurityContext = event.getSecurityContexts();
        UserDetails ud;
        for (SecurityContext securityContext : lstSecurityContext)
        {
            ud = (UserDetails) securityContext.getAuthentication().getPrincipal();
            // ...
        }
    }

}

web.xml：

<listener>
    <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
</listener>