什么是在Spring中自定义LogoutFilter的推荐方式？

Question

我有一个基于spring的web应用程序，我需要用户在满足特定条件时自动注销。我想要达到的效果与用户导航到在<security:logout logout-url="url" success-handler-ref="handler" />中配置的logout-url相同。

据我所知，这发生在LogoutFilter，其中所有LogoutHandlers被称为为此过滤器定义。

我的想法是创建LogoutFilter一个子类，这样我可以在requiresLogout(HttpServletRequest request, HttpServletResponse response)方法实现自己的逻辑：

public class CustomLogoutFilter extends LogoutFilter { 

    public CustomLogoutFilter(LogoutSuccessHandler logoutSuccessHandler, LogoutHandler... handlers) { 
     super(logoutSuccessHandler, handlers); 
    } 

    public CustomLogoutFilter(String logoutSuccessUrl, LogoutHandler... handlers) { 
     super(logoutSuccessUrl, handlers); 
    } 

    @Override 
    protected boolean requiresLogout(HttpServletRequest request, HttpServletResponse response) { 
     boolean result = super.requiresLogout(request, response); 
     result &= isCustomCondition(); 

     return result; 
    } 

    private boolean isCustomCondition(){ 
     // evaluate custom condition and return the value 
    } 
} 

我试着声明CustomLogoutFilter与LogoutFilter作为其父豆，但没有按似乎没有工作。

是否有可能配置CustomLogoutFilter的方式，它使用的是web应用程序而不是标准的LogoutFilter？有没有推荐的方法来实现这个逻辑？

我正在使用spring-security v。3.2.5。

Answer 1

如果您使用Java的配置，而不是Security Namespace（XML）的配置，你可以写你自己的RequestMatcher，并将它们添加到LogoutFilter，看到LogoutConfigurer#logoutRequestMatcher：

触发注销发生的RequestMatcher。在大多数情况下，用户将使用logoutUrl(String)，这有助于实施良好的做法。