JSF春季安全会话超时viewExpiredException

Question

我与Spring Security的超时与JSF以下问题：

只是如果请求的页面被固定，我定制了sessionmanagement过滤器，以便将用户重定向到invalidSessionUrl （即，如果仅允许认证用户使用）。我投入由Spring Security提供的会话管理过滤器的自定义代码为：

if (invalidSessionUrl != null) { 
    String pagSolicitada = UtilSpringSecurity.extraerPagina(request); 
    if (UtilSpringSecurity.paginaAutenticada(pagSolicitada)) { 
      request.getSession(); 
      redirectStrategy.sendRedirect(request, response, invalidSessionUrl); 
      return; 
    } 
    //the requested page doesn't require the user to be authenticated 
    //so i just skip this filter and continue with the filter chain 
    chain.doFilter(request, response); 
    return; 
} 

的方法“UtilSpringSecurity.extraerPagina（请求）”返回请求的页面是这样的：

public static String extraerPagina (HttpServletRequest request) { 
    String uri = request.getRequestURI().toLowerCase(); 
    String cPath = request.getContextPath().toLowerCase(); 
    // uri = cPath + pagina 
    int longCPath = cPath.length(); 
    String pagina = uri.substring(longCPath); 
    return pagina; 
} 

而且方法“UtilSpringSecurity.paginaAutenticada（pagSolicitada）”如果帕拉姆是需要被认证的用户（我做的IF检查，考虑其具有属性access="isAuthenticated()"我的XML安全配置文件的拦截-url元素），页面返回true ：

public static boolean paginaAutenticada (String pagina) { 

    if (pagina.startsWith("/faces/paginas/administracion/") || pagina.startsWith("/faces/paginas/barco/")) { 
      return true; 
    } 
    return false; 
} 

此解决方案，但它只是一个问题：如果我离开浏览器，直到会话超时在页面停留空闲

，然后我请求同一个页面上，然后我得到一个“viewExpiredException ”。这是因为过滤器运行良好，它绕过了重定向到invalidSessionUrl，但随着会话过期，我得到该异常，试图重新呈现相同的页面。

如果我请求任何其他不安全的网页时，该会话timout已经过期，它工作得很好，它正确地重定向到页面，我没有得到viewExpiredException。

任何人知道如何解决这个问题？

预先感谢您。

Answer 1

最后我解决了它。这是一个JSF问题，与Spring Security无关。

我重写JSF的restoreView方法是这样的：

@Override 
public UIViewRoot restoreView(FacesContext facesContext, String viewId) { 
    UIViewRoot root = wrapped.restoreView(facesContext, viewId); 
    if(root == null) { 
      root = createView(facesContext, viewId); 
    } 
    return root; 
} 

现在的问题是，如果页面有参数，我失去了他们，当我做邮寄到最近创建的视图，但是这另一个与JSF有关的独特问题（PRG模式）。

Answer 2

春季安全应该给你匿名访问套页的未认证用户。下面是我的XML配置摘录，介绍了如何实现这一点。

<http auto-config="true" access-denied-page="/unauthorized.xhtml" > 
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" /> 
    <intercept-url pattern="/app/**" access="ROLE_USER,ROLE_ADMIN" /> 
    <intercept-url pattern="/*.xhtml" access="IS_AUTHENTICATED_ANONYMOUSLY" /> 
    <form-login login-page="/login.xhtml" login-processing-url="/j_spring_security_check" 
     authentication-success-handler-ref="authenticationSuccessBean" 
     authentication-failure-handler-ref="authenticationFailureBean" /> 
    <session-management invalid-session-url="/login.xhtml" > 
    </session-management> 
</http> 

我基本上是用intercept-url标签声称一定的相对上下文中的页面只能由以下角色进行访问。您可以看到，Web应用程序默认上下文中的所有页面都可供匿名用户使用。如果用户未经授权查看该页面，则他们将被重定向到access-denied-page。

唯一的问题是您的用户bean必须实现UserDetails接口并且有一个属性返回实现GrantedAuthority接口的角色bean。 Spring会寻找一个UserDetails有一个GrantedAuthority属性来确定角色是什么。如果该用户不存在，未经身份验证或未知，则默认为匿名角色。