端口8443上通过ssl的Spring Security登录在使用http协议的端口8080上无法识别

Question

我在试图保护我的登录表单时遇到了一种奇怪的行为。

我的应用程序是在Spring框架和Spring Security上开发的，部署在Tomcat服务器上。只要使用http，一切都很好，但当我在成功登录和重定向后，在登录页面使用https 8443端口时http://localhost:8080/mens/index我被重定向到登录页面https://localhost:8443/mens/login.html

这是我的spring security配置的一部分。xml:

<!-- enable use-expressions -->
<http auto-config="true" use-expressions="true">
    <custom-filter position="SWITCH_USER_FILTER" ref="switchUserProcessingFilter" />
    <intercept-url pattern="/j_spring_security_switch_user" access="hasRole('ROLE_SUPERVISOR')"/>

    <session-management invalid-session-url="/login.html?invalidSession=1" session-fixation-protection="newSession">
        <concurrency-control max-sessions="10" error-if-maximum-exceeded="true"/>
    </session-management>

    <intercept-url pattern="/login.html" access="hasRole('ROLE_ANONYMOUS')" requires-channel="https"/>
    <intercept-url pattern="/resources/**" access="permitAll" requires-channel="any"/>
    <intercept-url pattern="/admin**" access="hasRole('ROLE_ADMIN')" requires-channel="http"/>
    <intercept-url pattern="/rest/**" access="hasRole('ROLE_USER')" requires-channel="http"/>
    <intercept-url pattern="/index" access="hasRole('ROLE_USER')" requires-channel="http"/>
    <intercept-url pattern="/upload/**" access="hasRole('ROLE_USER')" requires-channel="http"/>

    <headers>
        <xss-protection block="false"/>
        <frame-options disabled="true"/>
        <cache-control/>
    </headers>

    <!-- access denied page -->
    <access-denied-handler error-page="/403" />
    <form-login 
        login-page="/login.html" 
        default-target-url="/index" 
        always-use-default-target="true"
        authentication-failure-url="/login.html?error=1" 
        username-parameter="username" 
        password-parameter="password"/>
    <logout logout-success-url="/login.html?logout=1" invalidate-session="false" delete-cookies="JSESSIONID"/>
    <!-- enable csrf protection -->
    <!-- <csrf disabled="true" /> -->
</http>

或者，我尝试使用channelProcessingFilter而不是requires channel属性：

<http auto-config="true" use-expressions="true">
    <custom-filter position="CHANNEL_FILTER" ref="channelProcessingFilter"/>

    <custom-filter position="SWITCH_USER_FILTER" ref="switchUserProcessingFilter" />
    <intercept-url pattern="/j_spring_security_switch_user" access="hasRole('ROLE_SUPERVISOR')"/>

    <session-management invalid-session-url="/login.html?invalidSession=1" session-fixation-protection="newSession">
        <concurrency-control max-sessions="10" error-if-maximum-exceeded="true"/>
    </session-management>

    <intercept-url pattern="/login.html" access="hasRole('ROLE_ANONYMOUS')"/>
    <intercept-url pattern="/resources/**" access="permitAll"/>
    <intercept-url pattern="/admin**" access="hasRole('ROLE_ADMIN')"/>
    <intercept-url pattern="/rest/**" access="hasRole('ROLE_USER')"/>
    <intercept-url pattern="/index" access="hasRole('ROLE_USER')"/>
    <intercept-url pattern="/upload/**" access="hasRole('ROLE_USER')"/>

    <headers>
        <xss-protection block="false"/>
        <frame-options disabled="true"/>
        <cache-control/>
    </headers>

    <!-- access denied page -->
    <access-denied-handler error-page="/403" />
    <form-login 
        login-page="/login.html" 
        default-target-url="/index" 
        always-use-default-target="true"
        authentication-failure-url="/login.html?error=1" 
        username-parameter="username" 
        password-parameter="password"/>
    <logout logout-success-url="/login.html?logout=1" invalidate-session="false" delete-cookies="JSESSIONID"/>
    <!-- enable csrf protection -->
    <!-- <csrf disabled="true" /> -->
</http>

<beans:bean id="channelProcessingFilter" class="org.springframework.security.web.access.channel.ChannelProcessingFilter">
    <beans:property name="channelDecisionManager" ref="channelDecisionManager"/>
    <beans:property name="securityMetadataSource">
        <filter-security-metadata-source request-matcher="regex">
            <intercept-url pattern="\A/login.*\Z" access="REQUIRES_SECURE_CHANNEL"/>
            <intercept-url pattern="\A/login.html.*\Z" access="REQUIRES_SECURE_CHANNEL"/>
            <intercept-url pattern="\A/.*\Z" access="ANY_CHANNEL"/>
        </filter-security-metadata-source>
    </beans:property>
</beans:bean>

<beans:bean id="channelDecisionManager" class="org.springframework.security.web.access.channel.ChannelDecisionManagerImpl">
    <beans:property name="channelProcessors">
        <beans:list>
            <beans:ref bean="secureChannelProcessor"/>
            <beans:ref bean="insecureChannelProcessor"/>
            <beans:ref bean="anyChannelProcessor"/>
        </beans:list>
    </beans:property>
</beans:bean>

<beans:bean id="secureChannelProcessor" class="com.mycompany.mens.springsecurity.MensSecureChannelProcessor"/>
<beans:bean id="insecureChannelProcessor" class="com.mycompany.mens.springsecurity.MensInsecureChannelProcessor"/>
<beans:bean id="anyChannelProcessor" class="com.mycompany.mens.springsecurity.MensAnyChannelProcessor">
    <beans:property name="entryPoint" ref="mensRetryWithHttpEntryPoint"/>
</beans:bean>

<beans:bean name="mensRetryWithHttpEntryPoint" class="com.mycompany.mens.springsecurity.MensRetryWithHttpEntryPoint"/>

调试我发现身份验证成功了，入口点将流重定向到http端口8080上的索引页，但在那之后，有东西将我重定向到另一次登录。

有什么建议吗？

非常感谢您的帮助！

Answer 1

您的登录页面需要HTTPS：

<intercept-url pattern="/login.html" access="hasRole('ROLE_ANONYMOUS')" requires-channel="https"/>

但您的索引页面需要HTTP：

<intercept-url pattern="/index" access="hasRole('ROLE_USER')" requires-channel="http"/>

这就是您丢失会话cookie的原因，请参阅Spring Security-常见问题解答（FAQ）：

2.3。我正在使用Tomcat（或其他一些servlet容器）并为我的登录页面启用了HTTPS，之后切换回HTTP。它不起作用——我只是在身份验证后回到登录页面。

发生这种情况是因为在HTTPS下创建的会话（会话cookie被标记为“安全”）随后不能在HTTP下使用。浏览器不会将cookie发送回服务器，并且任何会话状态都将丢失（包括安全上下文信息）。首先在HTTP中启动会话应该可以工作，因为会话cookie不会被标记为安全（您还必须禁用Spring Security的会话固定保护支持，以防止它在登录时创建新的安全会话（您始终可以在稍后阶段自己创建新的会话）。请注意，在HTTP和HTTPS之间切换通常不是一个好主意，因为任何使用HTTP的应用程序都容易受到中间人攻击。为了真正安全，用户应该开始在HTTPS中访问您的站点并继续使用它，直到他们注销。即使从通过HTTP访问的页面单击HTTPS链接也有潜在风险。如果您需要更令人信服的内容，请查看sslstrie等工具。