春季安全会话超时

Question

我在我的 JSF2 webapp 中使用 Spring Security 3。

我有一个安全规则来提供会话超时：

<session-management invalid-session-url="/faces/paginas/autenticacion/login.xhtml?error=1" />

这样当会话过期并且用户点击任何链接时，他会被重定向到登录页面。在此页面中，我检查错误参数，并向用户显示会话已过期的消息。

但我有两个问题：

(1) 当我第一次启动应用程序时（它试图显示主页），我被重定向到登录页面，说会话已过期。我认为这可能会发生，因为您第一次运行应用程序时，会话是一个新会话，而 Spring Security 可能“认为”他已经过期（不区分新会话和超时）。

(2) 如果匿名用户的会话已过期（尚未经过身份验证），我也会被重定向到登录页面超时。我不希望未经身份验证的用户出现这种行为，我只想检查经过身份验证的用户的超时时间。

如何解决这两个问题？

提前谢谢你。

Answer 1

您想对过期会话使用expired-session-url 属性，而不是invalid-session-url。它们用于两种不同的事物。