我在SE研究过这个问题并没有找到解决问题的答案。
从我的观点来看,每当我在网络中注销会话并打开新标签时,此错误始终会触发。我认为会话管理不允许csrf令牌在浏览器的另一个选项卡中公开。
当我在chrome cookies控制台中跟踪JSESSIONID时,它显示与正常成功登录相比没有给出响应,这会给出JSESSIONID的响应。
这是我的登录页面表单:
<form name='loginForm' action="<c:url value='/login' />" method="post">
<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
<div id="username_input">
<div id="username_inputleft"></div>
<div id="username_inputmiddle">
<input type="text" name="username" id="url" placeholder="<spring:message code="login.name" />" >
<img id="url_user" src="<c:url value="/resources/images/login/mailicon.png"/>" alt="">
</div>
<div id="username_inputright"></div>
</div>
<div id="password_input">
<div id="password_inputleft"></div>
<div id="password_inputmiddle">
<input type="password" name="password" id="url" placeholder="<spring:message code="login.password" />" >
<img id="url_password" src="<c:url value="/resources/images/login/passicon.png"/>" alt="">
</div>
<div id="password_inputright"></div>
</div>
<div id="submit">
<input type="image" src="<c:url value="/resources/images/login/submit_hover.png"/>" id="submit1" value="Sign In" />
<input type="image" src="<c:url value="/resources/images/login/submit.png"/>" id="submit2" value="Sign In"/>
</div>
</form>
我认为问题出在我的安全配置中的会话管理中:
.sessionManagement()
.sessionFixation()
.newSession()
.maximumSessions( 1 );
但不知怎的,我无法解决问题。我希望有人可以提供帮助。
更新
我使用此链接注销:
<a href="<c:url value="/logout" />">
<spring:url value="/resources/images/logout.jpg" var="logoutimg" />
<img src="${logoutimg}">
<spring:url value="/resources/images/logout_txt.jpg" var="logouttxtimg" />
<img class="hidden-xs" src="${logouttxtimg}" />
</a>
答案 0 :(得分:0)
出于某种原因,我们需要使用/ logout或/ j_spring_security_logout来记录当前用户。如果我们使用其他方法以编程方式注销,除非我使用提供的URL,否则注销过程将无法完成。感谢帮助。如果有人在没有影响弹簧安全性的情况下提出完全注销的解决方案,那么请告诉我。谢谢
答案 1 :(得分:0)
在你的控制器中试试这个
@RequestMapping("/Logout")
public ModelAndView processLogout(HttpServletRequest request, HttpServletResponse response) {
Authentication auth = SecurityContextHolder.getContext().getAuthentication();
if (auth != null) {
new SecurityContextLogoutHandler().logout(request, response, auth);
}
mv = new ModelAndView();
mv.setViewName("Login");
return mv;
}
在您的登录页面插入
<input type="hidden" name="${_csrf.parameterName}"
value="${_csrf.token}" />
不要忘记将其添加到您的安全配置
<security:logout delete-cookies="JSESSIONID"
logout-success-url='/login?logout' logout-url="/Logout"
invalidate-session="true" />