spring-security - 配置 spring security 以在 session 超时后将用户重定向到以前的位置

Question

我的 spring 安全配置和我使用的 InvalidSessionStrategy 实现有一个小问题。

假设用户已连接到应用程序并正在查看页面:/userArea/thePage 并且他们的 session 超时，用户将首先被重定向到 /signin 页面。然后，在成功登录后，他们将被重定向到他们个人区域的主页 (/userArea) 而我希望他们回到原来的位置位于 session 超时时，即/userArea/thePage。

这可能吗？

如果是这样，我需要如何更改我的配置/应用程序？

这是我当前的配置:

<beans:bean id="sessionManagementFilter" class="org.springframework.security.web.session.SessionManagementFilter">
        <beans:constructor-arg name="securityContextRepository" ref="httpSessionSecurityContextRepository" />
        <beans:property name="invalidSessionStrategy" ref="simpleRedirectInvalidSessionStrategy" />
    </beans:bean>

<beans:bean id="simpleRedirectInvalidSessionStrategy" class="org.springframework.security.web.session.SimpleRedirectInvalidSessionStrategy">
    <beans:constructor-arg name="invalidSessionUrl" value="/signin" />
    <beans:property name="createNewSession" value="true" />
</beans:bean>


<http auto-config="true" use-expressions="true">
        <custom-filter ref="sessionManagementFilter" before="SESSION_MANAGEMENT_FILTER" />
        <form-login login-processing-url="/resources/j_spring_security_check" login-page="/signin" authentication-failure-url="/signin?login_error=t" default-target-url="/userArea" />
        <logout logout-url="/resources/j_spring_security_logout" logout-success-url="/signin" />
...

编辑 1:让我更好地说明我的要求:

• 当用户 session 超时时，我希望用户被重定向到保存的请求(他们在被重定向到登录页面之前请求的 url)。
• 但是，当他们最初使用该应用登录时，我希望将他们重定向到个人区域的主页。

是否可以使用 Carsten 建议的解决方案(见下文)来实现我的要求？

Answer 1

您可以在 form-login 标签中设置 always-use-default-target="true"。这会将用户重定向到他们在被拦截登录之前尝试访问的 url。

但这将是标准行为，而不仅仅是在 session 超时的情况下。根据应用程序，这可能不是您想要的。

编辑:要做你想做的事，你需要找到一种方法来保存 session 超时时用户所在页面的信息。我不知道这个问题有任何开箱即用的解决方案，因为没有状态指示用户是否超时或手动注销。

需要做的是:

1. 在 session 超时时设置标志或保存页面 url
2. checkin 自定义 AuthenticationSuccesHandler 并相应地重定向

如果我要实现类似的东西，我很可能会存储页面 url。从用户体验的角度来看，这也有一些棘手的事情。如果保存的页面依赖于之前实现的状态会怎样？ (我假设这就是您希望用户在正常登录时转到默认 url 的原因？)如果用户只是不注销会发生什么情况关闭晚上 sleep 并登录导航到登录页面(标志是否/page-url 超时？)？等等

一般来说，我认为最好使用 always-use-default-target="true"，因为这增加了为任何页面添加书签的舒适度，而不必在每次登录时导航到那里。