Spring Security: invalid-session-url与logout-success url

Question

我使用的是Spring-Security 3.1。在我添加会话管理的invalid- session -url属性之前，它正确地重定向到注销页面。然而，在添加了invalid- session -url之后，即使我点击了注销按钮，它也会重定向到会话过期页面。此外，在会话超时后，如果我加载登录页面，它会重定向到会话过期页面。

我必须检查会话过期，如果会话过期，则将用户重定向到会话过期页面。但是，在使用invalid- session -url标记之后，它会将我重定向到会话过期页面，即使是在登录和注销情况下也是如此。

在一些帖子中，建议不要使用invalid-session-url。然而，我不能理解，在实际会话过期之后，我如何能够显示会话过期页面。

任何帮助都将不胜感激。

Answer 1

默认情况下，注销过程将首先使会话无效，从而触发会话管理重定向到超时页面。通过指定invalidate-session="false“可以修复此行为。

    <sec:logout logout-success-url="/logout" invalidate-session="false" 
delete-cookies="JSESSIONID" />

Answer 2

会话过期仅限于检测已提交请求中的无效会话cookie。如果您的注销没有删除会话cookie，那么如果您再次访问该站点，它将被重新提交，这将触发无效的会话URL。这在the reference manual中有解释。我会阅读它和随附的脚注。如上所述，您需要删除会话cookie，它可能工作，也可能不工作，这取决于您的容器。

Answer 3

尝试在您的安全配置中添加以下内容。

<http>
    <logout delete-cookies="JSESSIONID" />
</http>