本文分析了在Spring Security 3.1.4.RELEASE版本下，登录成功后从HTTPS切换到HTTP时，由于会话固定保护策略导致Session丢失的现象。Spring Security为防止会话固定攻击，在用户登录后会创建新的Session并废弃匿名会话。由于HTTPS连接的Cookie有'Secure'标志，当重定向到HTTP页面时，浏览器不会发送该Cookie，从而服务器无法识别已登录状态。解决方案是自定义重定向URL，确保携带jsessionId，以便保持会话。
框架版本:
Spring security版本: spring-security-3.1.4.RELEASE
Tomcat 版本: apache-tomcat-6.0.37
浏览器 :均支持Http/1.0 | 1.1
原文地址:http://blog.csdn.net/yanghongchang_/article/details/10154751
场景描述:
在使用springsecurity安全验证框架的时候会遇到类似的下列的情况:
登录页面使用户首次登录也是服务器端首次授权的地方,需要使用HTTPS形式进行加密传输,由于考虑性能的问题其余资源(例如页面)均使用HTTP访问.
问题:
在使用SpringSecurity配置两种方式自动切换,但是在切换的时候会碰到当你登录成功之后却不能进入主页,从中可能至少有3个sessionId,也就是说SessionId丢失了.
一.分析登录页面HTTP切换到HTTPS:
说明:请见下图:
最低0.47元/天 解锁文章
1343
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
