为什么Spring Security会将匿名用户重定向到expiredsessionurl

Question

null

这些页面配置为.authorizerequests().antmatchers（“/”、“/home”、“/about”）.PermitAll（）.我启用了无效会话选项来处理经过身份验证的用户:.SessionManagement（）.invalidSessionURL（“/errors/invalidSession”）。如果我注释掉该选项，那么除了步骤#10-SessionManagementFilter看到请求的会话ID无效(#9)，但没有启动新会话并执行重定向(#10)之外，上面描述的所有内容都完全相同。

为什么？我可以做什么来保留无效会话选项，但正确地处理匿名用户，即不被重定向？或者这是不可能的，我将不得不单独处理经过身份验证的用户？如果有人能帮助我理解这里发生的事情，并为我指明解决这个问题的方向，我将非常感激。如果您需要查看我的完整http配置，请告诉我。

编辑

我对匿名和注册（经过身份验证）的用户运行了一系列测试。如果启用.sessionmanagement().invalidsessionURL（“/errors/invalidsession”），那么这两种类型的用户最终都会到达错误页面。未选中RememberMe的经过身份验证的用户与anon用户相同。如果选中了RememberMe，则一旦RememberMe超时，就会出现错误页。

如果禁用invalid session选项，则不会有用户获得错误页（这是有意义的）。这两种类型的用户都可以浏览公共页面，只要他们愿意，经过身份验证的用户将被要求在会话或RememberMe过期后登录。

if (invalidSessionStrategy != null) {
    invalidSessionStrategy
        .onInvalidSessionDetected(request, response);
    return;
}

if (createNewSession) {
    request.getSession();
}
redirectStrategy.sendRedirect(request, response, destinationUrl);

Answer 1

好吧，所以在过去的几周里，我一直在研究Spring Security，试图理解它是如何结合在一起的。我还在学习，但对于这种特殊的情况，我找到了两种有效的方法。

显而易见的一个方法是绕过公共页面的安全性，如下所示：

@Override
public void configure(WebSecurity web) throws Exception
{
    web
    .ignoring()
        .antMatchers("/", "/home", "/about", "/login**", "/thankyou", "/user/signup**", "/resources/**")
    ;
}

我对web安全的总体了解还不够，不知道这是否是一种可接受的方法，但它允许匿名用户浏览站点W/O而获得无效的会话错误。

authCookie.setCookie(request, response, "anonymousUser");
or
authCookie.setCookie(request, response, authentication.getName());

我目前使用实际登录只是为了测试目的--它最终只是一个简单的是/否指示器。CustomLogoutSuccessShandler将其重置为anonymousUser

无效会话方法如下所示：

@Override
public void onInvalidSessionDetected(HttpServletRequest request, HttpServletResponse response) 
    throws IOException, ServletException {

    String url = destinationUrl;

    //reset context default value
    redirectStrategy.setContextRelative(false);

    if (authCookie.isCurrentCookieAnonymous()) {
        //pass the URL originally requested by the anonymous user
        url = request.getRequestURI();
        //the URL needs to have the context removed
        redirectStrategy.setContextRelative(true);
    }

    //always revert to anonymous user
    authCookie.setCookie(request, response, "anonymousUser");

    logger.debug("Starting new session (if required) and redirecting to '" + url + "'");

    if (createNewSession)
        request.getSession();

    redirectStrategy.sendRedirect(request, response, url);
}

同样，如果需要，我可以发布完整的课程。

@Bean
public SessionManagementBeanPostProcessor sessionManagementBeanPostProcessor() {
    return new SessionManagementBeanPostProcessor();
}

protected static class SessionManagementBeanPostProcessor implements BeanPostProcessor {

    @Override
    public Object postProcessBeforeInitialization(Object bean, String beanName) {
        if (bean instanceof SessionManagementFilter) {
            SessionManagementFilter filter = (SessionManagementFilter) bean;
            filter.setInvalidSessionStrategy(new RedirectInvalidSession("/errors/invalidSession"));
        }
        return bean;
    }

    @Override
    public Object postProcessAfterInitialization(Object bean, String beanName) {
        return bean;
    }
}