¿Por uqe no funciona correctamente la sesión de usuario cuando ésta expira y se recupera mediante la cookie de remember-me existente?
Tengo un error extraño cunado habilito la opcitón de remember-me en Spring Security. Cuando la sesión caduca no me redirige al formulario de login como debiera ser normal, sino que me deja navegar por el resto de páginas sin problema, excepto al realizar alguna acción qeu imploque un método POST (incluido el logout), en cuyo caso los controladores lanzan un error indicando que no se acepta la petición GET. ¿Por qué si el método es un POST llega como GET?
En primer lugar, tengo un Servidor Apache funcionando como proxy, mediante las directivas ProxyPass. He desplegado mi aplicación .war como ROOT.war para poder evitar problemas de contexto y poder acceder a mi portal a través del dominio principal (www.example.com) sin tener que indicar el subdominio del nombre de mi aplicación, en otras palabras, sin tener que indicar www.example.com/appName.
He leido un montond de informaciónd e probelmas similares y he ido corrigiendo multiples cosas relacionadas, y la configuración actual de mi VirtualHost contiene las siguientes lineas:
ProxyRequests Off
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
ProxyPass / http://example.com:9080/
ProxyPassReverse / http://example.com:9080/
<Location />
Order allow,deny
Allow from all
</Location>
#FIX For Spring Security
RewriteEngine on
RewriteRule ^/(.*)$ http://example.com:9080/$1 [P,L]
El fix para Spring Scurity actualmente son necesarias por que sin ellas, no puedo utilizar ningún método post aunque la sesión no haya caducado todavía.
El problema
Antes de que JSESIONID caduque, puedo usar la aplicación corectamente: puedo hacer un logout, usar métodos POST, etc...Sin ningún probleam. Pero cuando la sesión caduca, algo deja de funcionar corectamente. A partir de este momento puedo seguir navegando por el portal, acceder a información (incluso cerrando el navegador, y volviendolo a abrir (no es la sesion activa del navegador) y en nigún momento me redirige a la página de login. Entiendo entonces, que la cookie del remember-me está funcionado en principio correctamente, y es capaz de recuperar la sesión y mantener al usuario identificado, PERO si intento utilizar un método POST los controladores rechazan la petición indicando que no soportan el método GET (cosa que es correcta por que yo he indicado que solo trabaje con POST. ¿por que llega un GET después de que la sesion expire, si antes de eso llegaba correctamente un POST?
He probado la aplicación en el mismo entorno pero quitando la configuración del remember-me del security-context.xml. Despliego el ROOT.war y cuadno la sesión caduca, me redirige correctamente a la página de login como ebería ocurrir.
Por otro lado, en mi servidor tomcat local (sin el apache funcionando como proxy) la aplicación funciona correctamente tanto con remember-me como sin él. ¿Alguna idea de que peude estar pasando?
security-context.xml
<bean id="csrfSecurityRequestMatcher" class="com.XXX.YYY.config.CsrfSecurityRequestMatcher"></bean>
<security:form-login
authentication-success-handler-ref="customAuthenticationSuccessHandler"
authentication-failure-url="/login?error"
login-page="/login"
password-parameter="lgPassword"
username-parameter="lgUsername" />
<security:logout
success-handler-ref="customLogoutSuccessHandler"
logout-url="/logout"
invalidate-session="true" />
<security:csrf
request-matcher-ref="csrfSecurityRequestMatcher"
disabled="false" />
<security:remember-me
user-service-ref="customUserDetailsService"
token-repository-ref="customPersistentTokenRepository"
remember-me-parameter="lgRememberMe"
remember-me-cookie="TRMMBRM"
token-validity-seconds="7776000" />
<security:session-management>
<security:concurrency-control
max-sessions="1"
expired-url="/login" />
</security:session-management>
web.xml (tengo algunos listener y filtros que no se si podrían afectar...)
...
<listener>
<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
...
<filter>
<display-name>springSecurityFilterChain</display-name>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<!-- Session Configuration-->
<session-config>
<session-timeout>1</session-timeout> <!-- (in minutes (1 min for test) -->
</session-config>
- JVM Version: 1.8.0_151-b12
- Spring MVC 4.3.5.RELEASE
- Spring Security 4.2.1.RELEASE
- Apache/2.4.6 (CentOS)
- Apache Tomcat/7.0.76
Tambien tengo habilitado el CSRF token para los métodos POST, y además estoy filtrando las peticiones que manejan el CSRF para evitar tratar las de paypal. No sé si es relevante asiíq eu lo pongo, y en caso contrario ignorar esta parte. (Configuración en security-spring.xml)
CsrfSecurityRequestMatcher.java
package com.XXX.YYY.config;
import java.util.regex.Pattern;
import javax.servlet.http.HttpServletRequest;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;
public class CsrfSecurityRequestMatcher implements RequestMatcher {
private Pattern allowedMethods = Pattern.compile("^(GET|HEAD|TRACE|OPTIONS)$");
// Deshabilitamos la protección CSRF de las siguientes URLs:
private AntPathRequestMatcher[] requestMatchers = { new AntPathRequestMatcher("/paypal/**") };
@Override
public boolean matches(HttpServletRequest request) {
if(allowedMethods.matcher(request.getMethod()).matches()){
return false;
}
// Si la peticion coincide con el patrón a ignorar deshabilitamos la protección CSRF
for (AntPathRequestMatcher rm : requestMatchers) {
if (rm.matches(request)) { return false; }
}
return true;
}
}