如何将已通过身份验证的用户从登录页面重定向到主页

Question

我正在使用ApacheShiro开发JSF应用程序。我用Shiro引诱用户，并将其重定向到主页。这没有问题。验证后，当我尝试访问登录页面时，它不会将我重定向到主页。即使已经有loggedin用户，我也可以再次登录。正如巴卢斯克在他的博客文章中提到的，我正在进行程序登录。

[main]
credentialsMatcher = org.apache.shiro.authc.credential.PasswordMatcher
myRealm = com.example.security.myRealm
myRealm.credentialsMatcher = $credentialsMatcher
securityManager.realms = $myRealm
user = com.example.web.filter.FacesAjaxAwareUserFilter
user.loginUrl = /login.xhtml

[urls]
/login.xhtml = user

这个滤镜是根据博文写的。

public class FacesAjaxAwareUserFilter extends UserFilter {

private static final String FACES_REDIRECT_XML = "<?xml version=\"1.0\" encoding=\"UTF-8\"?>"
        + "<partial-response><redirect url=\"%s\"></redirect></partial-response>";

@Override
protected void redirectToLogin(ServletRequest request, ServletResponse response) throws IOException {
    HttpServletRequest req = (HttpServletRequest) request;
    if ("partial/ajax".equals(req.getHeader("Faces-Request"))) {
        response.setContentType("text/xml");
        response.setCharacterEncoding("UTF-8");
        response.getWriter().printf(FACES_REDIRECT_XML, req.getContextPath() + getLoginUrl());
    }
    else {
        super.redirectToLogin(request, response);
    }
}

}

问题是什么？如果用户已经通过身份验证，我该如何重定向用户？

编辑:现在，如果用户已经通过身份验证，我将使用PostConstruct注释进行重定向。我愿意考虑任何好的解决办法。

Answer 1

验证后，当我尝试访问登录页面时，它不会将我重定向到主页。即使已经有loggedin用户，我也可以再次登录

Shiro和自定义Shiro用户过滤器都不是为了防止这种情况。Shiro没有这方面的内置设施。自定义Shiro用户筛选器仅在找到未经身份验证的用户时运行，而不是在找到已经身份验证用户时运行。

阻止经过身份验证的用户直接访问登录页面是您自己的责任。根据业务要求，您可以执行以下操作：

>

就让它吧。也许用户只是想切换登录。如有必要，您可以有条件地显示以下消息：

  <ui:fragment rendered="#{not empty request.remoteUser}">
      You are already logged-in as #{request.remoteUser}.
      By logging in as another user, you will be logged out.
  </ui:fragment>
  <h:form id="login">
      ...
  </h:form>

不允许，但保持在同一个页面中。有条件地隐藏登录表单并显示如下消息：

  <ui:fragment rendered="#{not empty request.remoteUser}">
      Hey, how did you end up here?
      You are already logged-in as #{request.remoteUser}!
  </ui:fragment>
  <h:form id="login" rendered="#{empty request.remoteUser}">
      ...
  </h:form>

当然，当用户已经登录时，请确保您的Web应用程序没有登录链接。

不要允许它并重定向到所需的目标页面。这可以通过多种方式来完成。最干净的方法是使用servlet过滤器。

  @WebFilter(urlPatterns = "/login.xhtml")
  public class LoginPageFilter implements Filter {

      @Override
      public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
          HttpServletRequest request = (HttpServletRequest) req;
          HttpServletResponse response = (HttpServletResponse) res;

          if (request.getRemoteUser() != null) {
              response.sendRedirect(request.getContextPath() + "/home.xhtml"); // Redirect to home page.
          } else {
              chain.doFilter(req, res); // User is not logged-in, so just continue request.
          }
      }

      // Add/generate init() and destroy() with NOOP.
  }

您也可以在preRenderView事件侦听器中执行此操作。@PostConstruct可能为时已晚，因为此时可能已经提交了响应。请注意，在没有任何形式反馈的情况下重定向可能会让最终用户感到困惑。在过滤器中，考虑传递一个应触发条件消息的附加参数。或者在preRenderView事件侦听器中，设置一个flash范围的消息。