Servlet 3.0プログラムによるセキュリティを使用する場合のセッションタイムアウトの処理方法

Question

Servlet 3.0のプログラムによるセキュリティに関して、セッションがタイムアウトすると、HttpServletRequest#logout()を呼び出す方法がありません。

ユーザはJAASにログインしたままですか？

もしそうなら、セッションタイムアウト後にJAASからのログアウトを処理するベストプラクティスは何ですか？

コンテナは、セッションのタイムアウト後に再度ログインして新しいセッションを作成するという、その後のユーザーの要求をどのように処理しますか？

さておき、サーブレット3.0プログラムによるセキュリティを使用したときに、セッションのタイムアウトを処理するために、以下の3つのアプローチ使用しての長所と短所どのようなものとして：

1. HttpSessionListener#sessionDestroyed()
2. は@ManagedBean @SessionScoped LoginManagerがHttpSessionBindingListenerを実装し、中に何かを作りますvalueUnbound。
3. LoginManagerの@PreDestroyメソッドに注釈を付けます。

他に提案されているアプローチやベストプラクティスのアドバイスは、必ずお読みください。

Answer 1

サーブレット仕様のどこかに、セッションの無効性がプリンシパルがない状態に正確に対応するという声明があります。これが鍵です。 logout（）とtimeoutはどちらもセッションを無効にし、セッションを無効にすると、そのセッションからプリンシパルとそのすべての値バインディングが削除されます。

JAASが実際に行うすべてのことは、LoginModulesが、ユーザと彼の役割の両方について、Subjectにプリンシパルを蓄積できることです。 JAAS logout()メソッドが本当に必要とするのは、同じモジュールのlogin()、またはおそらくcommit()というメソッドで追加された主体のSubjectをクリアすることです。これは、秘密の資格情報などを追加した場合件名。 logout（）はlogin（）/ commit（）と同じインスタンスでは実行されないため、その削除はプリンシパルの内部コレクションではなくプリンシパルクラスに基づいている必要があります。

JAAS logout（）はセッションが終了すると呼び出されませんが、プリンシパルはセッションから削除されます。

その他の理由でセッションの終了をトラッキングする場合は、ユーザーBeanをセッションバインディングリスナーにし、valueUnbound（）メソッドでログアウトとしてログを記録します。これは私の経験では100％信頼できます。

その他の質問に答えるために、「JAASにログインしました」というような状態はありません。JAASは、というコンテナにログイン/ログアウトサービスを提供します。新しいログインは、前のセッションが期限切れになったかどうかにかかわらず、新しいセッションに新しいログインです。

Answer 2

セッション管理はJAASに直接リンクされていません。セッション管理は実際にはコンテナによって異なります。

Jetty 8では、セッション管理は（コンテキストレベルの）SessionManagerと（サーバーレベルの）SessionIdManagerによって処理されます。

ブラウザはセッションIDをサーバーに送信します。 SessionManagerを実装するクラスは、セッションIDを検証します。セッションが期限切れの場合、セッションは無効化されて削除され、セッションリスナーに通知されます。

私はなぜあなたが「ログアウト」する必要があるのか​​分かりませんが、あなたはログアウトをリスナーにフックできるはずです。

「JAASにログインしています」というメッセージは、コンテナにあまり意味がない場合があります。 Jettyにはユーザー/プリンシパル/サブジェクトのキャッシュがないため、キャッシュを自分で実装しない限り、「ログインしていない」状態にはなりません。

JAASモジュールは単に認証と認可を提供します。他には何もない。

ADD

セッションの有効期限が切れて

は、サーバーはバック302を送信して、ログインページにリダイレクトします。ページ上のフォーム送信はログインモジュール（JAASモジュールかもしれません）を呼び出し、認証に成功すると、通常はクッキー（またはURL書き換え）の手段を介してブラウザに返される新しいセッションとセッションIDを作成します。

あなたのアプリケーションがすべてのコンテキストに対して単一のコンテキストIDを処理しない限り、セッションの有効期限が切れてもプログラム型のログアウトを実行する必要はありません。別のコンテキストで有効なセッションがまだ存在するユーザを「無効にする」ことができます。