Spring security无效会话重定向

Question

我在spring Boot1.2.3 web应用程序中使用spring security 4.0.1（也使用Spring-Session1.0.1，但这与本案无关）。

每当登录的用户会话过期时，Spring就会检测到无效的会话，并将用户重定向到“.invalidsessionURL（”/session/error/invalid“）”

然而，我只想被重定向，如果目标链接在私人区域内，也不是公共区域。

我怎么才能避免呢？

谢了。

 http
            .authorizeRequests()
            .anyRequest()
                .permitAll()
            .antMatchers("/privado/**")
                .authenticated()
            .and()
                .formLogin()
                .loginPage("/login")
                .failureUrl("/login?error")
                .defaultSuccessUrl("/")
                .successHandler(new SessionSuccessHandler())
            .and()
                .logout()
                .logoutSuccessUrl("/")
                .deleteCookies("JSESSIONID", "SESSION")
            .and()
                .sessionManagement()
                .invalidSessionUrl("/session/error/invalid")
            .sessionFixation()
            .changeSessionId()
            .maximumSessions(1)
            .expiredUrl("/session/error/expired")
            .and()
            .and()
                .csrf()
                .ignoringAntMatchers("/jolokia/**", "/v1.0/**");

多谢.

Answer 1

@robwinch-这似乎是一个非常常见的用例，从我运行的测试和注释来看，您提出的解决方案似乎不起作用。我相信在http://forum.spring.io/forum/spring-projects/security/94772-redirect-to-invalce-session-url-only-when-user-accesses-securited-resource中也提出了类似的问题，而且似乎从未解决过。我的想法是拥有多个http设置（使用xml配置）

<http pattern="/aboutUs**" security="none" />
<http pattern="/contact**" security="none" />
etc

当有相当多的不安全页面并且添加一个新的不安全页面需要更新配置时，这似乎并不理想。如果我们能为这个用例有一个“理想”的解决方案，那就太好了。随着Spring security 4.1的发布，似乎仍然没有明确的方法来实现这一点。