Весенняя безопасность, не обнаруживающая пользователя со страниц

Question

Я действительно не знаю, как я задаю свой вопрос. Я разработал веб-приложение, и я использовал фреймворк (Spring, SpringSecurity)

приложение отлично работает, выполняет роль и привилегии для аутентификации и управления.

<sec:http auto-config="true" use-expressions="true"> 

     <sec:intercept-url pattern="/pagess/admin/**" access="hasRole('ROLE_ADMIN')" /> 
     <sec:intercept-url pattern="/pagess/**" access="hasAnyRole('ROLE_USER','ROLE_ADMIN','ROLE_VISTEUR')" /> 
     <sec:form-login login-page="/login.jsf" 
      authentication-failure-url="/loginFailed.jsf" default-target-url="/Menu.jsf" /> 
     <sec:logout logout-success-url="/login.jsf" delete-cookies="JSESSIONID" 
      invalidate-session="true" /> 
     <sec:access-denied-handler error-page="/interdit.jsf"/>          
     <sec:session-management invalid-session-url="/login.jsf"> 
      <sec:concurrency-control max-sessions="1" 
       error-if-maximum-exceeded="true" /> 
     </sec:session-management> 
    </sec:http> 

    <sec:authentication-manager alias="authenticationManager"> 
     <sec:authentication-provider> 
      <sec:jdbc-user-service data-source-ref="DataSource" 
       users-by-username-query=" 
       select username,password, enabled 
       from utilisateur where username=?" 
       authorities-by-username-query=" 
       select username, authority from utilisateur 
       where username =? " /> 

     </sec:authentication-provider> 
    </sec:authentication-manager> 
</beans:beans> 

но это только сегодня я заметил что-то странное. пока я нахожусь на страницах, которые я нажимаю на стрелку предыдущего google chrome из приложения на страницу аутентификации. Сразу после того, как я вытащил в противоположном смысле flech Advent, он позволил мне перейти к приложению, но это не нормально, что без аутентификации.

<context-param> 
    <param-name>contextConfigLocation</param-name> 
     <param-value> 
    /WEB-INF/application.xml 
    /WEB-INF/spring_sec.xml 
     </param-value> 
    </context-param> 
    <context-param> 
     <param-name>javax.faces.PROJECT_STAGE</param-name> 
     <param-value>Development</param-value> 
    </context-param> 
<listener> 
    <listener-class> 
    org.springframework.web.context.ContextLoaderListener 
    </listener-class> 
    </listener> 

    <filter> 
     <filter-name>springSecurityFilterChain</filter-name> 
     <filter-class> 
      org.springframework.web.filter.DelegatingFilterProxy 
     </filter-class> 
    </filter> 

    <filter-mapping> 
     <filter-name>springSecurityFilterChain</filter-name> 
     <url-pattern>/*</url-pattern> 
    <dispatcher>FORWARD</dispatcher> 
    <dispatcher>REQUEST</dispatcher> 
    </filter-mapping> 

    <listener> 
<listener-class> 
org.springframework.security.web.session.HttpSessionEventPublisher 
</listener-class> 
</listener> 

    <listener> 
    <listener-class> 
    org.springframework.web.context.request.RequestContextListener 
    </listener-class> 
    </listener> 

Хау может я .thank заранее

Answer 1

Мммм. То, что вы описали, звучит как стандартное поведение. После входа в веб-приложение создается сеанс с контекстом безопасности, и пользователь оттуда считается аутентифицированным. Простая навигация от веб-сайта в кеше браузера не приведет к аннулированию сеанса. Поскольку это было бы довольно неудобно и потребовало бы, чтобы пользователь входил в систему при каждой навигации на новый сайт. Итак, как должно вести себя веб-приложение!

Для выхода из системы пользователь должен использовать j_spring_security_logout, аннулировать сеанс, удалить аутентификацию в контексте безопасности или тайм-аут сеанса. Ни одно из них не представляется возможным в случае простой навигации браузера.

Однако для реализации приложения без сеанса вам необходимо установить время сеанса на очень низкий интервал или удалить объект аутентификации непосредственно после загрузки страницы. Это, как правило, не очень удобный подход. Для лучшего ответа вам, возможно, придется подробно остановиться на проблеме (которая пока не является проблемой), детализируя, что именно должно делать приложение.

Answer 2

заменить

<sec:logout logout-success-url="/login.jsf" delete-cookies="JSESSIONID" 
     invalidate-session="true" /> 

по

<sec:logout logout-url="/login.jsf" logout-success-url="/login.jsf" delete-cookies="JSESSIONID" 
     invalidate-session="true" /> 

, но я не уверен, что если положить /login.jsf для входа в систему и в то же время выход из системы будет работать.

вы можете пользователя /logout.jsf для logout-url, вам не нужно создавать logount.jsf, и пользователи будут иметь возможность выхода из системы с помощью /logout.jsf