如何更正 Shiro 注销代码（执行注销后用户仍然可以访问页面）？

Posted 2023-02-22

技术标签:

【中文标题】如何更正 Shiro 注销代码（执行注销后用户仍然可以访问页面）？【英文标题】：How to correct Shiro logout code (user can still access pages after log out is executed)? 【发布时间】：2021-09-26 03:41:10 【问题描述】：

我正在实施 Shiro 安全性并且我的登录实施正在运行，但注销似乎没有注销用户。我有一个注销链接，它指向调用 Shiro 注销代码的自定义 servlet。代码执行（我可以单步执行代码并在控制台中看到日志输出）但是，如果我在浏览器中按下后退按钮并重新加载原始页面，我可以进入该页面并且我不会被要求重新输入我的登录凭据。

我需要做什么来解决这个问题？

servlet 代码如下所示。完整的例子在这里：

https://github.com/NACHC-CAD/web-security-example

Servlet 代码：

@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException 
    Subject subject = SecurityUtils.getSubject();
    log.info("Doing log off for user: ");
    if(subject != null && subject.isAuthenticated()) 
        subject.logout();
        log.info("Subject has been logged off");
     else 
        log.info("USER NOT FOUND, NOT LOGGED OFF");
    
    log.info("User has been log offed");

登录代码：

@Slf4j
public class MyAppRealm extends SimpleAccountRealm 

    /**
     * Authentication method is based on SimpleAccountRealm doGetAuthenticationInfo(AuthenticationToken token) method.  
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException 
        log.info("* * * DOING CUSTOM AUTHN * * *");
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        String uid = upToken.getUsername();
        String pwd = new String(upToken.getPassword());
        log.info("Doing login for user: " + uid);
        SimpleAccount account = null;
        if(uid.equals("foo") && pwd.equals("bar")) 
            account = new SimpleAccount("foo", "bar", getName());
            account.setCredentials("bar");
            account.addRole("ROLE_ADMIN");
         else 
            account = null;
            log.info("Credentials failed for user: " + uid);
        
        // account.setObjectPermissions(permissions);
        log.info("Done with custom authn");
        return account;
    

    /**
     * Authorization method is based on SimpleAccountRealm doGetAuthorizationInfo(PrincipalCollection principals) method.  
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) 
        log.info("* * * DOING CUSTOM AUTHZ * * *");
           String username = getUsername(principals);
            USERS_LOCK.readLock().lock();
            try 
                SimpleAccount rtn = this.users.get(username);
                log.info("Done with custom authz.");
                return rtn;
             finally 
                USERS_LOCK.readLock().unlock();

web.xml

<!-- 
*
* shiro stuff
*
-->

<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>

<filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>

<filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
    <dispatcher>INCLUDE</dispatcher>
    <dispatcher>ERROR</dispatcher>
</filter-mapping>

shiro.ini

# ---
#
# ini file for shiro
#
# ---

[main]
myRealm = org.nachc.examples.websecurity.shiro.util.realm.MyAppRealm
securityManager.realms = $myRealm

[users]
admin = admin, ROLE_ADMIN

[roles]
ROLE_ADMIN = *

[urls]
/app/** = authcBasic

--- 编辑 ---------------

看起来浏览器正在缓存凭据并在访问同一页面时重新发送。即使从新选项卡中的隐身窗口，如果我访问同一页面，浏览器也会将基本身份验证凭据添加到请求中。看起来这是 Chrome 添加的，作为其基本身份验证标准处理的一部分。更多信息在这里：How to clear basic authentication details in chrome（清除详细信息的方法非常手动且依赖于用户，如果您需要确保已注销的用户需要重新提供凭据，则不适合）。

--- 编辑 2 -----------------

根据下面接受的答案的建议，我能够通过使用 Shiro 实现基于表单的身份验证来解决这个问题。完整的例子在这里：

https://github.com/NACHC-CAD/web-security-example

【问题讨论】：

【参考方案1】：

这是 BASIC auth 的常见问题。

您需要支持 BASIC 身份验证吗？如果没有，您可以使用登录表单，请参阅此处的示例：https://github.com/apache/shiro/blob/main/samples/web/src/main/webapp/WEB-INF/shiro.ini#L54-L60

如果您需要同时支持 BASIC 身份验证和 Web 浏览器表单，您可以执行以下操作：