Question

我正在运行Wildfly，并且在用户注销时遇到会话无效的问题。我已经设置了一个自定义数据库登录模块，但是注销功能没有。我已经粘贴了相关的standalone.xml，jboss-web.xml和我的servlet注销代码。

问题是注销后会话不会失效。使用相同的JSESSIONIDSSO cookie，即使在注销后，用户仍然可以访问需要角色的页面。我已经测试过角色是否正常工作 - 在登录之前，需要角色的页面无法访问。登录后，可以访问它们。注销后，仍然可以访问它们。

是否有其他人遇到过这些问题，或者您是否知道我的错误配置？

standalone.xml

<security-domain name="myname-form" cache-type="default">
    <authentication>
        <login-module code="com.myname.DatabaseModLoginModule" flag="sufficient">
            <module-option name="securityDomain" value="jsse-myname"/>
            <module-option name="verifier" value="com.myname.X509Verifier"/>
            <module-option name="dsJndiName" value="java:/jdbc/myds"/>
            <module-option name="rolesQuery" value="exec h_Get_UserRoles ?, 1"/>
            <module-option name="fieldToSearchMap" value="CN=TEST"/>
            <module-option name="logQuery" value="exec h_Log_login_Attempt ?,?"/>
            <module-option name="certLogDir" value="C:\tools\wildfly\standalone\log\failedcerts"/>
        </login-module>
    </authentication>
</security-domain>

的JBoss-web.xml中

<jboss-web>
  <security-domain flushOnSessionInvalidation="true">myname-form</security-domain>
  <valve>
    <class-name>org.apache.catalina.authenticator.SingleSignOn</class-name>
  </valve>
  <context-root>/myname-form</context-root>
</jboss-web>

ServletLogout.java

public class LogoutServlet extends HttpServlet {

    protected void doGet(HttpServletRequest request,
            HttpServletResponse response) throws ServletException, IOException {

        response.setHeader("Cache-Control", "no-cache, no-store");
        response.setHeader("Pragma", "no-cache");
        response.setHeader("Expires", new java.util.Date().toString());

        if (request.getSession(false) != null) {
          request.getSession(false).invalidate();
        }
        if (request.getSession() != null) {
          request.getSession().invalidate();
        }

        request.logout();
        response.sendRedirect(request.getScheme()+"://"+request.getServerName());
    }
}

Answer 1

我使用的是Wildfly-8.1，我也遇到过很多SSO问题。首先，如前所述，您需要在会话销毁时手动刷新缓存：

@WebListener
public class SessionListener implements HttpSessionListener {

    @Resource(name = "java:jboss/jaas/app/authenticationMgr")
    private CacheableManager<?, Principal> authenticationManager;

    @Override
    public void sessionCreated(HttpSessionEvent httpSessionEvent) {
    }

    @Override
    public void sessionDestroyed(HttpSessionEvent httpSessionEvent) {

        // Flushes credentials.
        Principal principal = (Principal) httpSessionEvent.getSession()
                .getAttribute("principal");
        if (principal != null) {
            authenticationManager.flushCache(principal);
        }
    }
}

Wildfly已将默认Web容器切换为Undertow，因此阀门不能再使用了。您可以从jboss-web.xml中删除该部分

要启用SSO，您需要编辑standalone.xml并在下载子系统中添加“单点登录”选项（每个主机配置SSO）：

<subsystem xmlns="urn:jboss:domain:undertow:1.1">
    <buffer-cache name="default"/>
    <server name="default-server">
        <http-listener name="default" socket-binding="http"/>
        <host name="default-host" alias="localhost">
            <location name="/" handler="welcome-content"/>
            <filter-ref name="server-header"/>
            <filter-ref name="x-powered-by-header"/>
            <single-sign-on path="/"/>
        </host>
    </server>
    <servlet-container name="default">
        <jsp-config/>
    </servlet-container>
    <handlers>
        <file name="welcome-content" path="${jboss.home.dir}/welcome-content"/>
    </handlers>
    <filters>
        <response-header name="server-header" header-name="Server" header-value="WildFly/8"/>
        <response-header name="x-powered-by-header" header-name="X-Powered-By" header-value="Undertow/1"/>
    </filters>
</subsystem>

但仍然不够，因为我必须退出两次才能退出。在这个论坛上关注和讨论之后：Wildfly SSO, does it support session timeout and logout?我必须使用此论坛上的修补程序修补Undertow模块并将其安装在Wildfly-8.1中

Answer 2

似乎它与this JIRA问题有关，但在Wildfly 8中尚未解决，但仅在9中。

Answer 3

我遇到了同样的问题。

我已经从Wildfly8.1.0.Final更新到Wildfly8.2.0.Final并且问题已经消失了。

Wildfly SSO注销不起作用 - 会话仍然有效

3 个答案: