web-dev-qa-db-ja.com

Spring Securityでのログアウト/セッションタイムアウトのキャッチ

Spring/spring-security 3.1を使用していますが、ユーザーがログアウトするたびに（またはセッションがタイムアウトになった場合）何らかのアクションを実行したいと考えています。私はログアウトのためにアクションを完了させることができましたが、セッションのタイムアウトのために、私はそれを動作させることができません。

Web.xmlでは、ContextLoaderListenerのみが指定され（これが問題になる可能性がありますか？）、もちろんDelegatingFilterProxyも指定されています。

このような自動設定を使用します。

    <security:http auto-config="false" use-expressions="false">
    <security:intercept-url pattern="/dialog/*"
        access="ROLE_USERS" />
    <security:intercept-url pattern="/boa/*"
        access="ROLE-USERS" />
    <security:intercept-url pattern="/*.html"
        access="ROLE-USERS" />

    <security:form-login login-page="/auth/login.html"
        default-target-url="/index.html" />
    <security:logout logout-url="/logout"
         invalidate-session="true"
        delete-cookies="JSESSIONID" success-handler-ref="logoutHandler" />
</security:http>

<bean id="logoutHandler" class="com.bla.bla.bla.LogoutHandler">
    <property name="logoutUrl" value="/auth/logout.html"/>
</bean>

ユーザーがログアウトをクリックすると、ログアウトハンドラーが呼び出され、データベースへの呼び出しが行われます。

しかし、どのようにセッションタイムアウトを処理しますか？

これを処理する1つの方法は、ユーザーがログインしたときにセッションにユーザー名を挿入し、通常のhttpsessionlistenerを使用して、セッションタイムアウトで同じことを行うことです。

Springセキュリティで同様の方法がありますので、春がセッションがタイムアウトすることを発見した場合、そこにフックして認証にアクセスし、そこからUserDetailsを取得してクリーンアップすることができます。

javaspring-securitysession-timeout
32
Perre

より簡単な解決策があります。これは、ログアウトとセッションタイムアウトの両方で機能します。

@Component
public class LogoutListener implements ApplicationListener<SessionDestroyedEvent> {

    @Override
    public void onApplicationEvent(SessionDestroyedEvent event)
    {
        List<SecurityContext> lstSecurityContext = event.getSecurityContexts();
        UserDetails ud;
        for (SecurityContext securityContext : lstSecurityContext)
        {
            ud = (UserDetails) securityContext.getAuthentication().getPrincipal();
            // ...
        }
    }

}

web.xml：

<listener>
    <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
</listener>
56
John29

わかりました、私は解決策を得ました、それは私が望むほど良くありません、しかしそれは結果に私を連れて行きます。

ApplicationContextを取得できるBeanを作成します。

public class AppCtxProvider implements ApplicationContextAware {
private static WeakReference<ApplicationContext> APP_CTX;

@Override
public void setApplicationContext(ApplicationContext applicationContext)
        throws BeansException {
    APP_CTX = new WeakReference<ApplicationContext>(applicationContext);
}

public static ApplicationContext getAppCtx() {
    return APP_CTX.get();
}
}

HttpSessionEventPublisherを実装し、破棄時に、sessionRegistry.getSessionInfo（sessionId）を介してUserDetailsを取得します

これで、セッションのクリーンアップを行う必要があるSpring Beanと、セッションがタイムアウトしたユーザーができました。

public class SessionTimeoutHandler extends HttpSessionEventPublisher {
@Override
public void sessionCreated(HttpSessionEvent event) {
    super.sessionCreated(event);
}

@Override
public void sessionDestroyed(HttpSessionEvent event) {
    SessionRegistry sessionRegistry = getSessionRegistry();
    SessionInformation sessionInfo = (sessionRegistry != null ? sessionRegistry
            .getSessionInformation(event.getSession().getId()) : null);
    UserDetails ud = null;
    if (sessionInfo != null) {
        ud = (UserDetails) sessionInfo.getPrincipal();
    }
    if (ud != null) {
               // Do my stuff
    }
    super.sessionDestroyed(event);
}

private SessionRegistry getSessionRegistry() {
    ApplicationContext appCtx = AppCtxProvider.getAppCtx();
    return appCtx.getBean("sessionRegistry", SessionRegistry.class);
}
7
Perre

SimpleRedirectInvalidSessionStrategy を使用して、無効な要求されたセッションがSessionManagementFilterによって検出されたときにURLにリダイレクトできます。

サンプルapplicationContextは次のようになります。

<http>
    <custom-filter ref="sessionManagementFilter" before="SESSION_MANAGEMENT_FILTER" />
<http>


<beans:bean id="sessionManagementFilter" class="org.springframework.security.web.session.SessionManagementFilter">
    <beans:constructor-arg name="securityContextRepository" ref="httpSessionSecurityContextRepository" />
    <beans:property name="invalidSessionStrategy" ref="simpleRedirectInvalidSessionStrategy " />
</beans:bean>

<beans:bean id="simpleRedirectInvalidSessionStrategy" class="org.springframework.security.web.session.SimpleRedirectInvalidSessionStrategy">
  <beans:constructor-arg name="invalidSessionUrl" value="/general/logins/sessionExpired.jsf" />
  <beans:property name="createNewSession" value="false" />
</beans:bean>
<beans:bean id="httpSessionSecurityContextRepository" class="org.springframework.security.web.context.HttpSessionSecurityContextRepository"/>

JSFを使用している場合は、AJAX要求の処理方法についても JSF 2、Spring Security 3.xおよびRichfaces 4がajax要求のセッションタイムアウト時にログインページにリダイレクトする も参照してください。

[〜＃〜] update [〜＃〜]：このような場合、HttpSessionEventPublisherを拡張し、次のようにsessionDestroyedイベントをリッスンできます。

package com.examples;
import javax.servlet.http.HttpSessionEvent;

import org.springframework.security.web.session.HttpSessionEventPublisher;


public class MyHttpSessionEventPublisher extends HttpSessionEventPublisher {

   @Override
   public void sessionCreated(HttpSessionEvent event) {
      super.sessionCreated(event);
   }

   @Override
   public void sessionDestroyed(HttpSessionEvent event) {
      //do something
      super.sessionDestroyed(event);
   }

}

次に、このリスナーをweb.xmlに次のように登録します。

<listener>
    <listener-class>com.examples.MyHttpSessionEventPublisher</listener-class>
 </listener>
3
Ravi