SpringSecurity: ne parviennent pas à supprimer JSESSIONID

Dans mon cas, pour une raison quelconque, même si SecurityContextLogoutHandler appels session.invalidate() JSESSIONID ne pas être effacés. Sa valeur est restée la même.

J'ai essayé d'utiliser delete-cookies="JSESSIONID" de la même façon que l'OP essayé, et je crois que j'ai eu le même problème: Le chemin d'accès défini pour le cookie a été le chemin de contexte sans / à la fin, donc ce ne serait pas encore effacé (Il était en train de donner la commande pour supprimer un cookie qui n'existait pas).

J'ai fini par écrire mon propre ProperCookieClearLogoutHandler, qui est identiques CookieClearLogoutHandler sauf pour la ligne qui définit le chemin de contexte pour le cookie:

package com.testdomain.testpackage;

import java.util.Arrays;
import java.util.List;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.logout.LogoutHandler;
import org.springframework.util.Assert;
import org.springframework.util.StringUtils;

public final class ProperCookieClearingLogoutHandler implements LogoutHandler {
    private final List<String> cookiesToClear;

    public ProperCookieClearingLogoutHandler(String... cookiesToClear) {
        Assert.notNull(cookiesToClear, "List of cookies cannot be null");
        this.cookiesToClear = Arrays.asList(cookiesToClear);
    }

    public void logout(HttpServletRequest request, HttpServletResponse response,
            Authentication authentication) {
        for (String cookieName : cookiesToClear) {
            Cookie cookie = new Cookie(cookieName, null);
            String cookiePath = request.getContextPath() + "/";
            if (!StringUtils.hasLength(cookiePath)) {
                cookiePath = "/";
            }
            cookie.setPath(cookiePath);
            cookie.setMaxAge(0);
            response.addCookie(cookie);
        }
    }
}

Puis j'ai mis la config pour le LogoutFilter sur spring-security.xml de cette façon;

    <bean id="logoutFilter"
        class="org.springframework.security.web.authentication.logout.LogoutFilter">
        <constructor-arg name="logoutSuccessUrl" value="/views/login/login.xhtml?logout" />
        <constructor-arg>
            <list>
                <bean id="properCookieClearingLogoutHandler"
                    class="com.imatia.arpad.gplenos.authorization.ProperCookieClearingLogoutHandler">
                    <constructor-arg name="cookiesToClear">
                        <list>
                            <value>JSESSIONID</value>
                        </list>
                    </constructor-arg>
                </bean>
                <bean id="securityContextLogoutHandler"
                    class="org.springframework.security.web.authentication.logout.SecurityContextLogoutHandler">
                </bean>
            </list>
        </constructor-arg>
        <property name="filterProcessesUrl" value="/logout" />
    </bean>

La valeur par défaut CookieClearingLogoutHandler fournis par le printemps ne pouvait pas effacer JSESSIONID due à une différence de chemin de cookie.

Vous ne devez pas modifier le chemin d'accès de cookie. Ce serait changer le témoin de l'identité. Si le cookie a été fixé à un chemin comme /foo et de vous changer en /, alors le client de ne pas associer le changement de cookie avec l'original cookie plus. Un cookie est identifié par le nom et le chemin d'accès.

Donc vous avez besoin pour mettre en œuvre une coutume CookieClearingLogoutHandler comme indiqué dans la solution ci-dessus j'ai.e (ProperCookieClearingLogoutHandler.class) et réglez-le printemps de sécurité comme indiqué dans le code ci-dessous .Au lieu d'utiliser .deleteCookies("JSESSIONID","UTILISATEUR") qui ajoute CookieClearingLogoutHandler par défaut.

Printemps de Sécurité Java config:

@Configuration
@EnableWebSecurity
@ComponentScan(basePackages = "com.dentist.webapp")
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SessionRegistry sessionRegistry;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/resources/**", "/signup/*", "/about", "/login/*").permitAll().anyRequest()
                .authenticated()
                .and().formLogin()
                                 .loginPage("/login/form")
                                 .permitAll()
                .and().logout()
                              .invalidateHttpSession(true)
                              .clearAuthentication(true)
                             //.deleteCookies("JSESSIONID","USER")
                              .addLogoutHandler(new ProperCookieClearingLogoutHandler("JSESSIONID","USER"))
                              .permitAll()
                .and().sessionManagement()
                              .maximumSessions(1)
                              .maxSessionsPreventsLogin(true)
                              .expiredUrl("/accessDenied")
                              .sessionRegistry(sessionRegistry);

        }

    }