如何更改j_security_check使用的原始请求页面？

Question

当未经身份验证的用户请求某些资源时，他将被重定向到登录页面，但j_security_check将保留原始请求的资源。如果用户登录成功，将被重定向到该资源。

问题是有时请求的资源是动态的，因此它可能不存在。我的应用程序中有很多地方都有这种行为，因此我们不是在每个“资源处理程序”（控制器）中验证这一点，而是尝试将所有这些逻辑集中在拦截 j_security_check 的过滤器中转到登录页面。

现在，我们如何获取基于表单的身份验证机制保存的原始请求资源呢？它依赖于供应商吗？

另一种选择：

如果我可以在j_security_check之前运行过滤器，我将无法修改URL，但可以使用“有效URL”向用户发送重定向。但是我怎样才能在j_security_check之前执行过滤器呢？

Answer 1

如果页面是动态的并且“可能不存在”，但链接可能在某个时间点有效，并且您的应用程序在旧请求上失败，那么您的应用程序中出现了某些问题。如果“动态页面”实际上只是使用路径变量的模式匹配，那么您的代码应该能够响应这些情况，因为每个页面请求都应该得到适当的处理。

示例：我有一个页面来显示用户的公开个人资料。也许用户从我的网站取消注册。现在“页面”不应该“存在”。例如，在 Spring 中，我将使用 PathVariable 并使我的处理程序响应用户的存在或不存在：

@RequestMapping(value="/display/{userkey}")
public String displayUser (@PathVariable("userkey") String userkey) {
    User user = someDAO.getUser(userkey);
    if(user != null) {
        // do something
    } else {
        // do something else
    }
    return "theView";
}

在这种情况下，我将向浏览器返回一些有意义的消息，或者也许重定向到另一个位置。这似乎不是一个安全问题，而是一个应用程序设计问题。

Answer 2

您需要执行以下操作：

1. 在 web.xml 中为 j_security_check 创建过滤器
2. 在您的过滤器中，在 chain.doFilter(...) 之前，更改内容名为 WASReqURL 的 cookie 重定向到成功登录后的 servlet。