Làm cách nào để ngăn chặn bảo mật mùa xuân khỏi việc thêm; jsessionid = XXX để đăng nhập chuyển hướng?

Question

Khi khách hàng chưa được xác thực yêu cầu URL yêu cầu cấp truy cập không ẩn danh như được xác định trong security-config.xml, bảo mật mùa xuân sẽ gửi chuyển hướng HTTP đến trang đăng nhập của chúng tôi (ví dụ: /login). Đó là tốt.

Vấn đề là vắng mặt phiên hiện tại (được xác định bằng cookie được cung cấp trong yêu cầu của khách hàng), bảo mật mùa xuân đưa ra chuyển hướng cũng chỉ định phiên mới của khách hàng trong URL, ví dụ: /login;jsessionid=8o7pglapojus.

Nhiều thùng chứa hỗ trợ điều này (dường như nó hoạt động tốt trong tomcat?), Nhưng dường như Jetty (đó là những gì chúng tôi đang sử dụng ngay bây giờ) không - URL được chuyển hướng đi qua bộ định tuyến URL của chúng tôi hoàn toàn nguyên vẹn (bao gồm thông số jsessionid ") và phiên được đặt tên không được liên kết với yêu cầu /login bởi cầu cảng/bảo mật mùa xuân (nghĩa là ID phiên hoàn toàn mới được cung cấp trong tiêu đề Set-Cookie của phản hồi với yêu cầu /login).

Chúng tôi có thể giải quyết vấn đề này bằng cách khớp với /login.* trong các tuyến đường của chúng tôi, nhưng tôi tò mò nếu có cách nào để ngăn chặn sự phát xạ id phiên trong chuyển hướng xác thực để bắt đầu.

Answer 1

Trong bảo mật mùa xuân 3.0.0 M1 hoặc mới hơn, bạn có thể đặt disable-url-rewriting="true" trong không gian tên <http>. Xem nếu điều đó giúp. Ngoài ra, hãy xem điều này feature request.

Answer 2

Một giải pháp khác là ở đây (đối với những người an ninh mùa xuân ở tất cả các ví dụ bản thân mình)

http://randomcoder.com/articles/jsessionid-considered-harmful

Tạo một wrapper lọc Servlet và quản lý xử lý này.

Answer 3

Bây giờ có vẻ như thế này.

<security:http auto-config="false" use-expressions="true" disable-url-rewriting="true"> 

Sau này, ứng dụng của bạn sẽ không thể thực hiện công việc nhà nước đúng cách.

Answer 4

@ahmet alp balkan:

seamframework cung cấp giải pháp tốt hơn so với trình tạo ngẫu nhiên. http://seamframework.org/Documentation/RemovingJSESSIONIDFromYourURLsAndFixingScache

@BalusC:

Nếu FilterChainProxy nhà phát triển sử dụng mùa xuân an ninh để thực hiện các tính năng securtiy, chỉ cần không sử dụng namespace http.

Sau đó, chúng tôi không thể tìm cách thêm tính năng chỉnh sửa url-url mà không cần thêm bộ lọc tùy chỉnh vào chuỗi lọc hoặc chèn bộ lọc độc lập vào web.xml.

Answer 5

Vì bạn đang sử dụng cầu cảng, chỉ cần thêm thẻ ngữ cảnh param sau trong web.xml của bạn,

<!-- Disables appending JSESSSIONID in browser address bar/requests --> 
<context-param> 
    <param-name>org.eclipse.jetty.servlet.SessionIdPathParameterName</param-name> 
    <param-value>none</param-value> 
</context-param> 

Tham khảo: Session Management - Jetty Doc