0

¿Por uqe no funciona correctamente la sesión de usuario cuando ésta expira y se recupera mediante la cookie de remember-me existente?

Tengo un error extraño cunado habilito la opcitón de remember-me en Spring Security. Cuando la sesión caduca no me redirige al formulario de login como debiera ser normal, sino que me deja navegar por el resto de páginas sin problema, excepto al realizar alguna acción qeu imploque un método POST (incluido el logout), en cuyo caso los controladores lanzan un error indicando que no se acepta la petición GET. ¿Por qué si el método es un POST llega como GET?

En primer lugar, tengo un Servidor Apache funcionando como proxy, mediante las directivas ProxyPass. He desplegado mi aplicación .war como ROOT.war para poder evitar problemas de contexto y poder acceder a mi portal a través del dominio principal (www.example.com) sin tener que indicar el subdominio del nombre de mi aplicación, en otras palabras, sin tener que indicar www.example.com/appName.

He leido un montond de informaciónd e probelmas similares y he ido corrigiendo multiples cosas relacionadas, y la configuración actual de mi VirtualHost contiene las siguientes lineas:

ProxyRequests Off
<Proxy *>
    Order deny,allow
    Allow from all
</Proxy>

ProxyPass / http://example.com:9080/
ProxyPassReverse / http://example.com:9080/

<Location />
    Order allow,deny
    Allow from all
</Location>

#FIX For Spring Security
RewriteEngine on
RewriteRule ^/(.*)$ http://example.com:9080/$1 [P,L]

El fix para Spring Scurity actualmente son necesarias por que sin ellas, no puedo utilizar ningún método post aunque la sesión no haya caducado todavía.

El problema

Antes de que JSESIONID caduque, puedo usar la aplicación corectamente: puedo hacer un logout, usar métodos POST, etc...Sin ningún probleam. Pero cuando la sesión caduca, algo deja de funcionar corectamente. A partir de este momento puedo seguir navegando por el portal, acceder a información (incluso cerrando el navegador, y volviendolo a abrir (no es la sesion activa del navegador) y en nigún momento me redirige a la página de login. Entiendo entonces, que la cookie del remember-me está funcionado en principio correctamente, y es capaz de recuperar la sesión y mantener al usuario identificado, PERO si intento utilizar un método POST los controladores rechazan la petición indicando que no soportan el método GET (cosa que es correcta por que yo he indicado que solo trabaje con POST. ¿por que llega un GET después de que la sesion expire, si antes de eso llegaba correctamente un POST?

He probado la aplicación en el mismo entorno pero quitando la configuración del remember-me del security-context.xml. Despliego el ROOT.war y cuadno la sesión caduca, me redirige correctamente a la página de login como ebería ocurrir.

Por otro lado, en mi servidor tomcat local (sin el apache funcionando como proxy) la aplicación funciona correctamente tanto con remember-me como sin él. ¿Alguna idea de que peude estar pasando?

security-context.xml

<bean id="csrfSecurityRequestMatcher" class="com.XXX.YYY.config.CsrfSecurityRequestMatcher"></bean>

<security:form-login 
            authentication-success-handler-ref="customAuthenticationSuccessHandler"
            authentication-failure-url="/login?error"
            login-page="/login"
            password-parameter="lgPassword" 
            username-parameter="lgUsername" />

        <security:logout
            success-handler-ref="customLogoutSuccessHandler" 
            logout-url="/logout"
            invalidate-session="true" />

        <security:csrf
            request-matcher-ref="csrfSecurityRequestMatcher" 
            disabled="false" />

        <security:remember-me
            user-service-ref="customUserDetailsService"
            token-repository-ref="customPersistentTokenRepository"
            remember-me-parameter="lgRememberMe"
            remember-me-cookie="TRMMBRM" 
            token-validity-seconds="7776000" />

        <security:session-management>
            <security:concurrency-control 
                max-sessions="1"
                expired-url="/login" />
        </security:session-management>

web.xml (tengo algunos listener y filtros que no se si podrían afectar...)

...
<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
...
<filter>
    <display-name>springSecurityFilterChain</display-name>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<!-- Session Configuration-->
<session-config>
    <session-timeout>1</session-timeout> <!-- (in minutes (1 min for test) --> 
</session-config>

  • JVM Version: 1.8.0_151-b12
  • Spring MVC 4.3.5.RELEASE
  • Spring Security 4.2.1.RELEASE
  • Apache/2.4.6 (CentOS)
  • Apache Tomcat/7.0.76

Tambien tengo habilitado el CSRF token para los métodos POST, y además estoy filtrando las peticiones que manejan el CSRF para evitar tratar las de paypal. No sé si es relevante asiíq eu lo pongo, y en caso contrario ignorar esta parte. (Configuración en security-spring.xml)

CsrfSecurityRequestMatcher.java

package com.XXX.YYY.config;

import java.util.regex.Pattern;
import javax.servlet.http.HttpServletRequest;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;

public class CsrfSecurityRequestMatcher implements RequestMatcher {
    private Pattern allowedMethods = Pattern.compile("^(GET|HEAD|TRACE|OPTIONS)$");

    // Deshabilitamos la protección CSRF de las siguientes URLs:
    private AntPathRequestMatcher[] requestMatchers = { new AntPathRequestMatcher("/paypal/**") };

    @Override
    public boolean matches(HttpServletRequest request) {          
        if(allowedMethods.matcher(request.getMethod()).matches()){
            return false;
        }

        // Si la peticion coincide con el patrón a ignorar deshabilitamos la protección CSRF
        for (AntPathRequestMatcher rm : requestMatchers) {
          if (rm.matches(request)) { return false; }
        }

        return true;
    }
}

1 respuesta 1

0

Por si a alguien le resulta útil algún día, resolví el problema basándome en lo siguiente:

  1. Link a un porblema similar: https://stackoverflow.com/questions/10484573/spring-security-invalid-session-url-versus-logout-success-url?rq=1

  2. Documentación oficial de Spring Security: https://docs.spring.io/spring-security/site/docs/3.1.x/reference/springsecurity-single.html#ns-session-mgmt

  3. Mirar la nota 8 https://docs.spring.io/spring-security/site/docs/3.1.x/reference/springsecurity-single.html#ftn.d0e1047

[8] If you are running your application behind a proxy, you may also be able to remove the session cookie by configuring the proxy server.

<LocationMatch "/tutorial/j_spring_security_logout">
Header always set Set-Cookie "JSESSIONID=;Path=/tutorial;Expires=Thu, 01 Jan 1970 00:00:00 GMT"
</LocationMatch>

Me faltaba hacer que se borrara la JSESSIONID principalmente tras el logout.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.