在新用户提交“新帐户”表单后,我希望手动登录该用户,这样他们就不必在后续页面上登录。
通过spring安全拦截器的普通表单登录页面工作得很好。
在新的帐户表单控制器中,我创建了一个UsernamePasswordAuthenticationToken,并在SecurityContext中手动设置它:
SecurityContextHolder.getContext().setAuthentication(authentication);
在同一页面上,我稍后检查用户是否使用以下命令登录:
SecurityContextHolder.getContext().getAuthentication().getAuthorities();
这将返回我之前在身份验证中设置的权限。平安无事。
但是,当在我加载的下一个页面上调用相同的代码时,身份验证令牌只是UserAnonymous。
我不清楚为什么它没有保留我在前一个请求上设置的身份验证。有什么想法吗?
只是在寻找一些想法,可能会帮助我了解这里发生了什么。
发布于 2011-01-13 01:48:08
前段时间我遇到了和你一样的问题。我不记得细节了,但是下面的代码为我做了一些事情。此代码在Spring Webflow流中使用,因此出现了RequestContext和ExternalContext类。但与您最相关的部分是doAutoLogin方法。
public String registerUser(UserRegistrationFormBean userRegistrationFormBean,
RequestContext requestContext,
ExternalContext externalContext) {
try {
Locale userLocale = requestContext.getExternalContext().getLocale();
this.userService.createNewUser(userRegistrationFormBean, userLocale, Constants.SYSTEM_USER_ID);
String emailAddress = userRegistrationFormBean.getChooseEmailAddressFormBean().getEmailAddress();
String password = userRegistrationFormBean.getChoosePasswordFormBean().getPassword();
doAutoLogin(emailAddress, password, (HttpServletRequest) externalContext.getNativeRequest());
return "success";
} catch (EmailAddressNotUniqueException e) {
MessageResolver messageResolvable
= new MessageBuilder().error()
.source(UserRegistrationFormBean.PROPERTYNAME_EMAIL_ADDRESS)
.code("userRegistration.emailAddress.not.unique")
.build();
requestContext.getMessageContext().addMessage(messageResolvable);
return "error";
}
}
private void doAutoLogin(String username, String password, HttpServletRequest request) {
try {
// Must be called from request filtered by Spring Security, otherwise SecurityContextHolder is not updated
UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(username, password);
token.setDetails(new WebAuthenticationDetails(request));
Authentication authentication = this.authenticationProvider.authenticate(token);
logger.debug("Logging in with [{}]", authentication.getPrincipal());
SecurityContextHolder.getContext().setAuthentication(authentication);
} catch (Exception e) {
SecurityContextHolder.getContext().setAuthentication(null);
logger.error("Failure in autoLogin", e);
}
}
发布于 2011-12-01 11:34:57
我找不到任何其他完整的解决方案,所以我想我会发布我的。这可能有点小问题,但它解决了上面的问题:
public void login(HttpServletRequest request, String userName, String password)
{
UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(userName, password);
// Authenticate the user
Authentication authentication = authenticationManager.authenticate(authRequest);
SecurityContext securityContext = SecurityContextHolder.getContext();
securityContext.setAuthentication(authentication);
// Create a new session and add the security context.
HttpSession session = request.getSession(true);
session.setAttribute("SPRING_SECURITY_CONTEXT", securityContext);
}
发布于 2011-01-13 09:57:47
最终找到了问题的根源。
当我手动创建安全上下文时,没有创建任何会话对象。只有当请求完成处理时,Spring Security机制才会意识到session对象是空的(当它试图在处理请求之后将安全上下文存储到会话中时)。
在请求的末尾,Spring Security创建一个新的session对象和session ID,但是这个新的session ID永远不会到达浏览器,因为它出现在请求的末尾,在对浏览器做出响应之后。当下一个请求包含以前的会话ID时,这会导致新的会话ID (以及包含我手动登录的用户的安全上下文)丢失。
https://stackoverflow.com/questions/4664893
复制相似问题