Question

好吧，我已经在Shiro的论坛上发布了以下问题1周但直到现在都没有回复。

我只是想用一个简单的Spring应用程序来使用Shiro。安全管理器定义为DefaultWebSecurityManager，默认情况下将会话管理器设置为ServletContainerSessionManager，它适用于我。但是，在我将会话管理器更改为DefaultWebSessionManager后，这意味着我想使用Shiro的本机会话，它不适用于Chrome。我挖出了一些以下信息： -

使用DefaultWebSessionManager时，Shiro会尝试从请求Cookie中获取会话ID。逻辑SimpleCookie循环所有请求cookie，并在cookie的名称为'JSESSIONID'时返回。但是，在Chrome的请求中，有2个名为“JSESSIONID”的Cookie。第一个的值与请求中的“requestedSessionid”不同，另一个等于。这导致在身份验证成功后重新登录到登录页面。为简单起见，现在的过程是：访问任何地址 - ＆gt; Shiro重定向到登录页面 - ＆gt;提交委托人和凭证 - ＆gt;验证成功并通过Shiro重定向到主页 - ＆gt;一个新的请求来了，发现另一个未在Shiro中缓存的会话ID，导致InvalidSessionException中的resolveSession方法中的DefaultSecurityManager - ＆gt;重定向回登录页。
使用ServletContainerSessionManager时，由于会话ID来自request.getSession（false），因此可以在重定向后找到会话。

我的问题是，如果这是一个缺陷或任何配置或代码可以解决这个问题？请注意，Chrome会解决此问题。我想这是关于Chrome的缓存，但你能解释一下吗？

以下是您复制的必要来源： -

web.xml

<listener>
  <listener-class>test.shiro.framework.WebSessionListener</listener-class>
</listener>
<listener>
  <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
<context-param>
  <param-name>contextConfigLocation</param-name>
  <param-value>/WEB-INF/spring-servlet.xml</param-value>
</context-param>  


<filter>
  <filter-name>shiroFilter</filter-name>
  <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  <init-param>
    <param-name>targetFilterLifecycle</param-name>
    <param-value>true</param-value>
  </init-param>
</filter>

<filter-mapping>
  <filter-name>shiroFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

<servlet>
  <servlet-name>spring</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <load-on-startup>1</load-on-startup>
</servlet>

<servlet-mapping>
    <servlet-name>spring</servlet-name>
    <url-pattern>/controller/*</url-pattern>
</servlet-mapping>

spring-servlet.xml：

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
  <property name="securityManager" ref="securityManager" />
  <property name="loginUrl" value="/login.jsp"/>
  <property name="successUrl" value="/home.jsp"/>  
  <property name="unauthorizedUrl" value="/unauthorized.jsp"/>

  <property name="filterChainDefinitions">
    <value>
      /** = authc 
    </value>
  </property>
</bean>

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">

  <property name="realm" ref="myRealm" />
  <property name="sessionManager">
    <bean class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager"></bean>
  </property>

</bean>
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

<bean id="myRealm" class="org.apache.shiro.realm.text.TextConfigurationRealm">
  <property name="userDefinitions">
    <value>
      huzj=12345678,authc 
      guodg=12345678,operator 
      sadd=12345678,guest 
    </value>
  </property>
  <property name="roleDefinitions">
    <value>
      authc=* 
      operator=book:* 
      guest=book:view:* 
    </value>
  </property>
</bean>

2月18日更新：进一步的测试显示，当我尝试从ServletContainerSessionManager更改为DefaultWebSessionManager时，问题才会出现。我猜chrome在这种情况下错误地记录了一个垃圾饼干。

毕竟我尝试了@ paulochf的解决方案，它确实有效。我再次调试并相信你明白了。非常感谢！

Answer 1

在我的工作中，我们遇到了同样的问题，但我们解决了这个问题。

使用谷歌浏览器，该应用程序无法保持会话，因为它的ID几乎在每次请求时都发生了变化。与此同时，Firefox没有它。转向DefaultWebSessionManager的人在网上使用了一个例子，它将cookie名称设置为“cookie”。

他决定将cookie的名称更改为另一个，例如，

cookie = org.apache.shiro.web.servlet.SimpleCookie 
cookie.name = your.cookie
cookie.path = /
sessionManager.sessionIdCookie = $cookie

我希望这适合你。

Answer 2

您的解决方案仍然有效。当前环境：Shiro 1.2.3，Chrome版本42.0.2311.90（64位），Linux操作系统。

Answer 3

对于那些通过Spring配置Shiro的人，以下是如何将JSESSIONID覆盖为默认的cookie名称（在这种情况下为＆＃34; JSESSID＆＃34;）。

<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
    <property name="globalSessionTimeout" value="..." />
    <property name="sessionListeners">
        <util:list>
            <ref bean="..." />
        </util:list>
    </property>
    <property name="sessionIdCookie">
        <bean class="org.apache.shiro.web.servlet.SimpleCookie">
            <property name="name" value="JSESSID" />
        </bean>
    </property>
</bean>

DefaultWebSessionManager不适用于Chrome

3 个答案: