[JAVA] Sitzungsverwaltung für Spring Security-Nutzungsnotizen

Grundlegende und systematische Geschichte Zertifizierungs- / Autorisierungsgeschichte Remember-Me-Geschichte CSRF-Geschichte Die Geschichte des Antwortheaders Method Security Story CORS-Geschichte Die Geschichte von Run-As Die Geschichte von ACL Teststory Sprechen Sie über die Zusammenarbeit mit MVC und Boot

Sonderedition Was Spring Security kann und was nicht

Steuern der Anzahl gleichzeitiger Sitzungen

Standardmäßig kann derselbe Benutzer mehrere Sitzungen erstellen. Mit anderen Worten, derselbe Benutzer kann sich von verschiedenen Terminals aus beliebig oft anmelden.

Durch Ändern der Einstellungen können Sie die Anzahl der gleichzeitigen Sitzungen begrenzen oder mehrere Anmeldungen verhindern.

Begrenzen Sie die Anzahl gleichzeitiger Sitzungen

Implementierung

namespace

web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee 
         http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
         version="3.1">
    
    <filter>
        <filter-name>springSecurityFilterChain</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>

    <filter-mapping>
        <filter-name>springSecurityFilterChain</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    
    <listener>
        <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
    </listener>
    
    <listener>
        <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
    </listener>
</web-app>

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="
         http://www.springframework.org/schema/beans
         http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
         http://www.springframework.org/schema/security
         http://www.springframework.org/schema/security/spring-security.xsd">
    
    <sec:http>
        <sec:intercept-url pattern="/login" access="permitAll" />
        <sec:intercept-url pattern="/**" access="isAuthenticated()" />
        <sec:form-login />
        <sec:logout />
        
        <sec:session-management>
            <sec:concurrency-control max-sessions="1" />
        </sec:session-management>
    </sec:http>
    
    <sec:authentication-manager>
        <sec:authentication-provider>
            <sec:user-service>
                <sec:user name="hoge" password="hoge" authorities="" />
            </sec:user-service>
        </sec:authentication-provider>
    </sec:authentication-manager>
</beans>

Java Configuration

MySpringSecurityInitializer.java

package sample.spring.security;

import org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer;

public class MySpringSecurityInitializer extends AbstractSecurityWebApplicationInitializer {
    public MySpringSecurityInitializer() {
        super(MySpringSecurityConfig.class);
    }

    @Override
    protected boolean enableHttpSessionEventPublisher() {
        return true;
    }
}

MySpringSecurityConfig.java

package sample.spring.security;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

import java.util.Collections;

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .and()
                .sessionManagement().maximumSessions(1);
    }
    
    @Autowired
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("hoge")
            .password("hoge")
            .authorities(Collections.emptyList());
    }
}

Funktionsprüfung

Melden Sie sich mit dem ersten Browser an.

Melden Sie sich als derselbe Benutzer in einem anderen Browser an.

Wenn ich den ersten Browser erneut anzeige, wird eine Fehlermeldung angezeigt.

Erläuterung

web.xml

    <listener>
        <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
    </listener>

MySpringSecurityInitializer.java

    @Override
    protected boolean enableHttpSessionEventPublisher() {
        return true;
    }

• Sie müssen HttpSessionEventPublisher als Listener registrieren, damit Spring Security erkennen kann, dass eine neue Sitzung erstellt wurde.
• Wenn Sie "web.xml" verwenden, deklarieren Sie es normalerweise mit "".
• Wenn Sie "WebApplicationInitializer" verwenden, können Sie die Methode "enableHttpSessionEventPublisher ()" überschreiben, um "true" zurückzugeben, und sie registriert "HttpSessionEventPublisher" als Listener.

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        ...
        
        <sec:session-management>
            <sec:concurrency-control max-sessions="1" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

• Fügen Sie das Tag "" hinzu, fügen Sie das Tag "" hinzu und geben Sie die maximale Anzahl von Sitzungen mit dem Attribut "max-session" an.

MySpringSecurityConfig.java

...

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                ...
                .and()
                .sessionManagement().maximumSessions(1);
    }
    
    ...
}

• Geben Sie mit "sessionManagement (). MaximumSessions (int)" an.

Geben Sie den Fehlerbildschirm an

Standardmäßig wird auf dem Bildschirm nur eine Fehlermeldung angezeigt. Wechseln Sie daher zur angegebenen Seite (z. B. Anmeldeseite).

namespace

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        ...
        
        <sec:session-management >
            <sec:concurrency-control max-sessions="1" expired-url="/login" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

• Geben Sie die URL und den Pfad im Attribut expired-url an.

Java Configuration

MySpringSecurityConfig.java

...

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                ...
                .and()
                .sessionManagement().maximumSessions(1).expiredUrl("/login");
    }
    
    ...
}

• Geben Sie mit der Methode expiredUrl (String) an.

Geben Sie die Verarbeitung zum Zeitpunkt des Fehlers in der Implementierung an

MySessionInformationExpiredStrategy.java

package sample.spring.security.session;

import org.springframework.security.web.DefaultRedirectStrategy;
import org.springframework.security.web.session.SessionInformationExpiredEvent;
import org.springframework.security.web.session.SessionInformationExpiredStrategy;

import javax.servlet.ServletException;
import java.io.IOException;

public class MySessionInformationExpiredStrategy implements SessionInformationExpiredStrategy {
    
    @Override
    public void onExpiredSessionDetected(SessionInformationExpiredEvent event) throws IOException, ServletException {
        DefaultRedirectStrategy redirectStrategy = new DefaultRedirectStrategy();
        redirectStrategy.sendRedirect(event.getRequest(), event.getResponse(), "/login");
    }
}

--Erstellen Sie eine Klasse, die "SessionInformationExpiredStrategy" implementiert.

• Implementieren Sie die Fehlerbehandlung mit der Methode "onExpiredSessionDetected ()".
• Hier leiten wir zu / login weiter.

namespace

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <bean id="sies" class="sample.spring.security.session.MySessionInformationExpiredStrategy" />
    
    <sec:http>
        ...
        
        <sec:session-management >
            <sec:concurrency-control max-sessions="1" expired-session-strategy-ref="sies" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

• Geben Sie die Bean von "SessionInformationExpiredStrategy" mit "Expired-Session-Strategy-Ref" an.

Java Configuration

MySpringSecurityConfig.java

...

import sample.spring.security.session.MySessionInformationExpiredStrategy;

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                ...
                .and()
                .sessionManagement()
                    .maximumSessions(1)
                    .expiredSessionStrategy(new MySessionInformationExpiredStrategy());
    }
    
    ...
}

• Registrieren Sie sich mit der Methode expiredSessionStrategy (SessionInformationExpiredStrategy).

Verhindern Sie, dass Sie sich über das Limit hinaus anmelden

Wenn Sie nur "max-session" ("maximumSessions") angeben und sich über die Obergrenze hinaus anmelden, wird die älteste Sitzung zuerst verworfen.

Wenn Sie dagegen versuchen, sich über das Limit hinaus anzumelden, können Sie einen Fehler machen, wenn Sie versuchen, eine neue Sitzung zu erstellen. Beachten Sie jedoch, dass Sie sich bei Aktivierung dieser Einstellung möglicherweise erst wieder anmelden können, wenn Ihre alte Sitzung abläuft oder Sie sich explizit abmelden.

namespace

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        ...
        
        <sec:session-management >
            <sec:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

• Geben Sie "wahr" für "Fehler, wenn das Maximum überschritten wird" an.

Java Configuration

MySpringSecurityConfig.java

...

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                ...
                .and()
                .sessionManagement()
                    .maximumSessions(1)
                    .maxSessionsPreventsLogin(true);
    }
    
    ...
}

--Pass true in der maxSessionsPreventsLogin (boolean) Methode.

** Funktionsprüfung **

Melden Sie sich mit dem ersten Browser an.

Wenn Sie versuchen, sich im zweiten Browser als derselbe Benutzer anzumelden, tritt ein Fehler auf.

Geben Sie das Übergangsziel zum Zeitpunkt des Fehlers an

Implementierung

max-session-error.jsp

<%@page contentType="text/html" pageEncoding="UTF-8"%>
<!DOCTYPE html>
<html>
    <head>
        <meta charset="UTF-8" />
        <title>Max Session</title>
    </head>
    <body>
        <h1>Die Anzahl der Sitzungen hat das Limit erreicht</h1>
        
        <%@page import="org.springframework.security.core.AuthenticationException" %>
        <%@page import="org.springframework.security.web.WebAttributes" %>
        <%
            AuthenticationException e = (AuthenticationException)session.getAttribute(WebAttributes.AUTHENTICATION_EXCEPTION);
            pageContext.setAttribute("errorMessage", e.getMessage());
        %>
        
        <h2 style="color: red;">${errorMessage}</h2>
    </body>
</html>

Die Seite, die das Übergangsziel sein soll. Eine Fehlermeldung wird angezeigt.

namespace

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        <sec:intercept-url pattern="/login" access="permitAll" />
        <sec:intercept-url pattern="/max-session-error.jsp" access="permitAll" />
        <sec:intercept-url pattern="/**" access="isAuthenticated()" />
        <sec:form-login authentication-failure-url="/max-session-error.jsp" />
        <sec:logout />
        
        <sec:session-management>
            <sec:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

Java Configuration

MySpringSecurityConfig.java

...

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/max-session-error.jsp").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                    .failureUrl("/max-session-error.jsp")
                .and()
                .sessionManagement()
                    .maximumSessions(1)
                    .maxSessionsPreventsLogin(true);
    }
    
    ...
}

Funktionsprüfung

Melden Sie sich mit dem ersten Browser an.

Wenn Sie sich mit dem zweiten Browser anmelden, werden Sie zur angegebenen Fehlerseite (max-session-error.jsp) weitergeleitet.

Erläuterung

applicationContext.xml

        <sec:intercept-url pattern="/login" access="permitAll" />
        <sec:intercept-url pattern="/max-session-error.jsp" access="permitAll" />
        <sec:intercept-url pattern="/**" access="isAuthenticated()" />
        <sec:form-login authentication-failure-url="/max-session-error.jsp" />

--Wenn die Anzahl der Sitzungen die Obergrenze überschreitet und Sie versuchen, sich bei Form anzumelden, wird die Fehlerseite mit dem Attribut "Authentifizierungsfehler-URL" des Tags "" erstellt. Dies ist die Einstellung für die Formularanmeldung. ―― Natürlich ist die Fehlerseite, die normalerweise durch ein falsches Passwort usw. übersprungen wird, die hier angegebene Seite. ――So scheint es in der Realität notwendig zu sein, die URL des Anmeldebildschirms anzugeben, den Fehler auf der Seite des Anmeldebildschirms (oder der Steuerung des Anmeldebildschirms) zu identifizieren und die Nachricht zu wechseln.

• Alternativ können Sie Authentifizierungsfehler behandeln, indem Sie "AuthenticationFailureHandler" in "Authentication-Failure-Handler-Ref" angeben (für "AuthenticationFailureHandler" hier klicken) (http://qiita.com/opengl- " 8080 / items / 032ed0fa27a239bdc1cc #% E3% 83% AD% E3% 82% B0% E3% 82% A4% E3% 83% B3% E3% 81% AB% E5% A4% B1% E6% 95% 97% E3 % 81% 97% E3% 81% 9F% E3% 81% A8% E3% 81% 8D% E3% 81% AE% E5% 87% A6% E7% 90% 86% E3% 82% 92% E5% AE % 9F% E8% A3% 85% E3% 81% 99% E3% 82% 8B))
• Im Falle eines Sitzungslimitfehlers wird "SessionAuthenticationException" ausgelöst.

Warum ist die Formularanmeldung festgelegt?

Überprüft mit UsernamePasswordAuthenticationFilter

Warum wird die Angabe des Übergangsziels, wenn ein Fehler bei der Prüfung der maximalen Anzahl von Sitzungen auftritt, auf das Tag "" gesetzt?

applicationContext.xml

        <sec:session-management>
            <sec:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </sec:session-management>

--Wenn Sie das Tag "" hinzufügen, wird ein Filter mit dem Namen "SessionManagementFilter" hinzugefügt.

• Die Anzahl der gleichzeitigen Sitzungen wird von der Klasse "SessionAuthenticationStrategy" überprüft, über die dieser Filter verfügt.
• Insbesondere "ConcurrentSessionControlAuthenticationStrategy".
• Diese "SessionAuthenticationStrategy" hat jedoch auch einen "UsernamePasswordAuthenticationFilter", der den Formularanmeldevorgang ausführt.
• Genau genommen gehört es der übergeordneten Klasse "AbstractAuthenticationProcessingFilter".
• Wenn die Authentifizierung mit "UsernamePasswordAuthenticationFilter" erfolgreich ist, wird der mit der Sitzung verbundene Authentifizierungsprozess an "SessionAuthenticationStrategy" delegiert. --Und zu diesem Zeitpunkt wird die Anzahl der gleichzeitigen Sitzungen überprüft.
• Wenn ein Fehler auftritt, der die Obergrenze überschreitet, ist es selbstverständlich, den Fehler mit "UsernamePasswordAuthenticationFilter" zu behandeln. --SessionManagementFilter wartet nach UsernamePasswordAuthenticationFilter.
• Daher wird die Formularanmeldeeinstellung für die Fehlerseitenspezifikation übernommen, die die maximale Anzahl von Sitzungen überschreitet.

Wann funktioniert SessionManagementFilter?

--SessionManagementFilter ist für die Verarbeitung verantwortlich, wenn er durch nicht interaktive Authentifizierungsverarbeitung angemeldet ist.

• Ein typischer nicht interaktiver Authentifizierungsprozess ist die automatische Anmeldung mit Remember-Me-Authentifizierung.

Ist es möglich, die Verarbeitung SessionManagementFilter anzuvertrauen, auch wenn Sie sich bei Form anmelden?

Dies ist eine persönliche Vermutung und ich weiß nicht, ob sie korrekt ist </ font>

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        <sec:intercept-url pattern="/login" access="permitAll" />
        <sec:intercept-url pattern="/**" access="isAuthenticated()" />
        <sec:form-login />
        <sec:remember-me />
        <sec:logout />
        
        <sec:session-management>
            <sec:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

<%@taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@page contentType="text/html" pageEncoding="UTF-8"%>
<!doctype html>
<html>
    <head>
        <meta charset="utf-8" />
        <title>My Login Page</title>
    </head>
    <body>
        <h1>My Login Page</h1>
        
        <c:url var="loginUrl" value="/login" />
        <form action="${loginUrl}" method="post">
            <div>
                <label>Nutzername: <input type="text" name="username" /></label>
            </div>
            <div>
                <label>Passwort: <input type="password" name="password" /></label>
            </div>
            <div>
                <label>Remember-Me : <input type="checkbox" name="remember-me"></label>
            </div>
            <input type="submit" value="login" />
            <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
        </form>
    </body>
</html>

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>
    
    <sec:http>
        <sec:intercept-url pattern="/login" access="permitAll" />
        <sec:intercept-url pattern="/my-login.jsp" access="permitAll" />
        <sec:intercept-url pattern="/**" access="isAuthenticated()" />
        <sec:form-login login-page="/my-login.jsp" />
        <sec:remember-me />
        <sec:logout />
        
        <sec:session-management session-authentication-error-url="/my-login.jsp">
            <sec:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />
        </sec:session-management>
    </sec:http>
    
    ...
</beans>

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:sec="http://www.springframework.org/schema/security"
       ...>

    <sec:http>
        ...
        <sec:session-management session-fixation-protection="none" />
    </sec:http>

    ...
</beans>

...

@EnableWebSecurity
public class MySpringSecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                ...
                .and()
                .sessionManagement()
                    .sessionFixation().none();
    }

    ...
}