转载:《Spring Security3》第三章第二部分翻译(退出功能的实现)
来源:互联网 发布:淘宝限时打折怎么设置 编辑:程序博客网 时间:2024/05/29 03:46
转载自:http://lengyun3566.iteye.com/blog/1114464
理解退出功能
术语退出(Logout)指的是用户使其安全session失效的一种操作。一般来说,用户在退出后,将会被重定向到站点的非安全保护的界面。让我们在站点的页头部分添加一个“Log Out”的链接,并再次访问站点以了解其如何实现功能的。
在站点页头上添加“Log Out”链接
正如我们在第二章中讨论的那样,Spring Security将会监视一些特殊的URL,这些URL将会触发过滤器链中的一个或多个过滤器。用户实现退出的URL标识为/j_spring_security_logout。在header.jsp中添加一个退出的链接与为一个锚标签(即a标签)添加适合的href属性:
<c:url value="/j_spring_security_logout" var="logoutUrl"/> <li><a href="${logoutUrl}">Log Out</a></li>
如果你重新加载站点并点击“Log Out”链接,你会发现被重置到登录form的界面。现在看来,登录和退出是很有趣的!
【使用JSTL URL标签来处理相对URL。我们使用了JSTL核心库中的url标签来保证提供的URL在部署的web应用中能够被正确处理。url标签将提供的URL按照相对路径(以/开始)进行处理。你可能会见过其他类似的实现技术如使用JSP的代码((<%= request.getContextPath() %>)),但是JSTL的url标签能够使得你免于编写内联的代码。】
让我们看一下在这个简单操作的背后都发生了什么。
退出是怎么实现的
当我们点击退出链接时,到底发生了什么?
需要记住的一点是任何URL请求在被servlet处理之前,都会经过Spring Security的过滤器链。所以,/j_spring_security_logout这个URL请求并非对应系统中的一个JSP,也不必有一个真正的JSP或者Spring MVC的目标来对其进行处理。这种类型的URL通常被称为虚拟URL。
请求/j_spring_security_logout的URL被o.s.s.web.authentication.logout.LogoutFilter过滤器所拦截。在Spring Security的众多默认过滤器中,LogoutFilter专门匹配这个虚拟URL并执行相应的操作。
让我们快速地查看一下Spring Security的security命名空间提供的默认退出功能:
<http auto-config="true" use-expressions="true"> <logout invalidate-session="true" logout-success-url="/" logout-url="/j_spring_security_logout"/> </http>
基于这个基本配置,系统将会寻找在logout-url属性配置的URL并实现用户的退出。使得用户退出系统将会涉及如下的三个步骤:
1. 使得HTTP session失效(如果invalidate-session属性被设置为true);
2. 清除SecurityContex(真正使得用户退出);
3. 将页面重定向至logout-success-url指明的URL。
以下的图片阐述了退出的过程:
o.s.s.web.authentication.logout.LogoutHandler接口的实现类可以在用户通过LogoutFilter退出时被调用。你可以实现自己的LogoutHandler(尽管比较复杂)并将其关联到LogoutFilter的生命周期中。通过LogoutFilter默认设置的LogoutHandler将会清除session以及remember me相关的功能,所以用户的session中不会再持有认证相关的信息。最后,通过一个o.s.s.web.
authentication.logout.LogoutSuccessHandler接口的默认实现,页面得以重定向到一个URL。默认实现中会将页面重定向到我们配置的成功退出URL地址(默认为/),但是我们自定义任何系统在用户退出时想要的操作。值得注意的是,退出的处理不应该抛出异常,因为很重要的一点是要在用户的安全session中避免可能出现的潜在不一致性。所以在实现自己的安全处理时要保证异常被正确的处理和记录。
修改logout URL
让我们尝试重写默认的logout URL来提供一个修改自动设置的简单例子。我们将会修改logout URL为/logout。
修改dogstore-security.xml配置文件来包含<logout>元素如下的代码所示:
<http auto-config="true" use-expressions="true"> ... ..<logout invalidate-session="true" logout-success-url="/" logout-url="/logout"/> </http>修改/common/header.jsp文件来改变logout链接的herf属性以匹配新的URL:
属性
描述
invalidate-session
如果被设置为true,用户的HTTP session将会在退出时被失效。在一些场景下,这是必要的(如用户拥有一个购物车时)
logout-success-url
用户在退出后将要被重定向到的URL。默认为/。将会通过HttpServletResponse.redirect来处理。
logout-url
LogoutFilter要读取的URL(在例子中,我们改变了它的设置)。
success-handler-ref
对一个LogoutSuccessHandler实现的引用。
- 转载:《Spring Security3》第三章第二部分翻译(退出功能的实现)
- 《Spring Security3》第二章翻译
- 《Spring Security3》第三章第三部分翻译上(Remember me安全吗?)
- 关于对《Spring Security3》翻译 (第一章 - 第三章)
- 关于对《Spring Security3》翻译 (第一章 - 第三章)
- (翻译)反射的第二部分:Emit (转载)
- Spring Security3 remember me功能实现
- 《spring security3》翻译
- 光线追踪第三章翻译(转载)
- 关于对《Spring Security3》翻译 (第四章 - 第xx章)
- 关于对《Spring Security3》翻译 (第四章 - 第xx章)
- 第二章(第三部分) 出发之前
- spring security3.x学习(11)_退出
- spring security3.x学习(11)_退出
- ibmMQ-第二部分第三章
- 第三章作业第二部分
- 第三章作业第二部分
- spring security3 (二)remember-me 和logout功能
- jquery获取name的值
- css选择器知识汇总
- 10条必知的网页导航菜单设计原则
- svn 提交时报错database is locked, executing statement 'RELEASE s0'
- ubuntu下端口关联检测
- 转载:《Spring Security3》第三章第二部分翻译(退出功能的实现)
- tomcat的命令
- SpringMVC与Struts2区别与比较总结
- Failed to load resource: the server responded with a status of 500 (Internal Server Error)
- 设置按钮的contentMode, 让其图片居中填充显示
- Codeforces 821 A. Okabe and Future Gadget Laboratory
- EffectiveJava心得一
- CentOS 7 新增加的systemctl 的用法和功能
- 面试题13—在O(1)时间删除链表结点