Abmelden/Sitzung Timeout mit Feder Sicherheit fangen

Question

Ich benutze Frühling/Frühling-Sicherheit 3.1 und möchte etwas unternehmen, wenn der Benutzer abmeldet (oder wenn die Sitzung abgelaufen ist). Ich habe es geschafft, die Aktion zum Abmelden auszuführen, aber für das Session-Timeout kann ich nicht funktionieren.

In web.xml habe ich nur den ContextLoaderListener angegeben (kann das das Problem sein?) Und natürlich die DelegatingFilterProxy.

Ich benutze die Auto-Konfiguration wie folgt.

Der Abmeldehandler wird aufgerufen, wenn der Benutzer auf Abmelden klickt, wodurch einige Aufrufe an eine Datenbank erfolgen.

Aber wie gehe ich mit dem Session-Timeout ???

Eine Möglichkeit, dies zu umgehen, wäre, den Benutzernamen in die Sitzung zu injizieren, wenn sich der Benutzer anmeldet und dann einen normalen httpsessionlistener verwendet und dasselbe bei Session-Timeout tut.

Gibt es einen ähnlichen Weg mit Feder Sicherheit, so dass, wenn Frühling entdeckt, dass die Sitzung zu Timeout ist, kann ich dort einhaken, Zugriff auf die Authentifizierung und holen Sie die UserDetails von dort und machen die Aufräumarbeiten.

Answer 1

Ich habe eine einfachere Lösung. Dies funktioniert sowohl für das Abmelden als auch für das Sitzungs-Timeout.

@Component 
public class LogoutListener implements ApplicationListener<SessionDestroyedEvent> { 

    @Override 
    public void onApplicationEvent(SessionDestroyedEvent event) 
    { 
     List<SecurityContext> lstSecurityContext = event.getSecurityContexts(); 
     UserDetails ud; 
     for (SecurityContext securityContext : lstSecurityContext) 
     { 
      ud = (UserDetails) securityContext.getAuthentication().getPrincipal(); 
      // ... 
     } 
    } 

} 

web.xml:

<listener> 
    <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class> 
</listener> 

Answer 2

Sie können SimpleRedirectInvalidSessionStrategy verwenden, um zu einer URL umzuleiten, wenn eine ungültige angeforderte Sitzung vom SessionManagementFilter erkannt wurde.

Probe application würde so aussehen:

<http> 
    <custom-filter ref="sessionManagementFilter" before="SESSION_MANAGEMENT_FILTER" /> 
<http> 


<beans:bean id="sessionManagementFilter" class="org.springframework.security.web.session.SessionManagementFilter"> 
    <beans:constructor-arg name="securityContextRepository" ref="httpSessionSecurityContextRepository" /> 
    <beans:property name="invalidSessionStrategy" ref="simpleRedirectInvalidSessionStrategy " /> 
</beans:bean> 

<beans:bean id="simpleRedirectInvalidSessionStrategy" class="org.springframework.security.web.session.SimpleRedirectInvalidSessionStrategy"> 
    <beans:constructor-arg name="invalidSessionUrl" value="/general/logins/sessionExpired.jsf" /> 
    <beans:property name="createNewSession" value="false" /> 
</beans:bean> 
<beans:bean id="httpSessionSecurityContextRepository" class="org.springframework.security.web.context.HttpSessionSecurityContextRepository"/> 

Wenn Sie JSF verwenden, auch JSF 2, Spring Security 3.x and Richfaces 4 redirect to login page on session time out for ajax requests auf beziehen, wie auch Ajax-Anfragen zu behandeln.

UPDATE: In einem solchen Fall können Sie die HttpSessionEventPublisher erweitern und für sessionDestroyed Veranstaltungen wie diese hören:

package com.examples; 
import javax.servlet.http.HttpSessionEvent; 

import org.springframework.security.web.session.HttpSessionEventPublisher; 


public class MyHttpSessionEventPublisher extends HttpSessionEventPublisher { 

    @Override 
    public void sessionCreated(HttpSessionEvent event) { 
     super.sessionCreated(event); 
    } 

    @Override 
    public void sessionDestroyed(HttpSessionEvent event) { 
     //do something 
     super.sessionDestroyed(event); 
    } 

} 

und registrieren diese Zuhörer in Ihre web.xml wie folgt aus:

<listener> 
    <listener-class>com.examples.MyHttpSessionEventPublisher</listener-class> 
</listener> 

Answer 3

Ok, ich habe eine funktionierende Lösung, es ist nicht so gut, wie ich möchte, aber es bringt mich zum Ergebnis.

Ich erstelle eine Bohne, von der ich den ApplicationContext erhalten kann.

public class AppCtxProvider implements ApplicationContextAware { 
private static WeakReference<ApplicationContext> APP_CTX; 

@Override 
public void setApplicationContext(ApplicationContext applicationContext) 
     throws BeansException { 
    APP_CTX = new WeakReference<ApplicationContext>(applicationContext); 
} 

public static ApplicationContext getAppCtx() { 
    return APP_CTX.get(); 
} 
} 

ich implementieren HttpSessionEventPublisher und zerstören, erhalte ich die Userdetails über sessionRegistry.getSessionInfo (sessionId)

Jetzt habe ich die Feder Bohnen, die ich brauche die Bereinigung der Sitzung zu tun und den Benutzer, für den die Sitzung endete für.

public class SessionTimeoutHandler extends HttpSessionEventPublisher { 
@Override 
public void sessionCreated(HttpSessionEvent event) { 
    super.sessionCreated(event); 
} 

@Override 
public void sessionDestroyed(HttpSessionEvent event) { 
    SessionRegistry sessionRegistry = getSessionRegistry(); 
    SessionInformation sessionInfo = (sessionRegistry != null ? sessionRegistry 
      .getSessionInformation(event.getSession().getId()) : null); 
    UserDetails ud = null; 
    if (sessionInfo != null) { 
     ud = (UserDetails) sessionInfo.getPrincipal(); 
    } 
    if (ud != null) { 
       // Do my stuff 
    } 
    super.sessionDestroyed(event); 
} 

private SessionRegistry getSessionRegistry() { 
    ApplicationContext appCtx = AppCtxProvider.getAppCtx(); 
    return appCtx.getBean("sessionRegistry", SessionRegistry.class); 
}