Przekierowanie z powrotem do strony po zalogowaniu

Question

Robię proste forum z serią Servlets, z których każda reprezentuje stronę domową, temat, postit, login i listę użytkowników. Na niektórych z tych stron znajduje się odsyłacz, który pojawia się, gdy użytkownik nie jest zalogowany.

Co chciałbym osiągnąć, to wywołać przekierowanie (używając funkcji forward() na RequestDispatcherze) po zalogowaniu, aby przeglądarka powraca do strony, na której był użytkownik przed kliknięciem linku logowania. W tym celu widzę dwa rozwiązania.

Pierwszym rozwiązaniem jest posiadanie kodu HTML Form z przyciskiem logowania i niewidocznym polem, które będzie zawierało informację, która strona zostanie przekierowana jako Parameter. Jest to możliwe, ale chciałbym spróbować czegoś innego.

Drugim rozwiązaniem jest dodanie Attribute do session, która w pewien sposób reprezentuje pierwszą "stronę". Może to zawierać String, ale nie różni się to od pierwszego podejścia. Innym skrętem byłoby dodanie odwołania do HttpServlet i użycie instanceof lub statycznej zmiennej String, która mogłaby zostać użyta do zidentyfikowania Servleta w jakiś sposób. Jednak wymagałoby to stworzenia wspólnej klasy przodków dla wszystkich Servlets.

Być może istnieje jeszcze jedno proste rozwiązanie, które można uznać za dobry kompromis? A może jedno z powyższych rozwiązań jest całkowicie dopuszczalne?

Answer 1

Wolałbym pierwsze nad drugim rozwiązaniem. To jest żądanie zasięg informacji i naprawdę nie należy do sesji, doprowadziłoby to tylko do "wtf?" doświadczenia, gdy masz wiele okien/kart otwartych w tej samej sesji.

na link do strony logowania, po prostu przekazać aktualny adres URL żądania parametru:

<a href="/login?from=${pageContext.request.requestURI}">Login</a> 

Lub jeśli jest to forma POST do strony logowania:

<input type="hidden" name="from" value="${pageContext.request.requestURI}"> 

W logowania formularz, prześlij go do następnego żądania jako zmienną ukrytą:

<input type="hidden" name="from" value="${param.from}"> 

Z serwletu logowania skorzystaj z niego :

User user = userDAO.find(username, password); 
if (user != null) { 
    request.getSession().setAttribute("user", user); 
    response.sendRedirect(request.getParameter("from")); 
} else { 
    // Show error. 
} 

Dość proste, prawda? :)

Niektórzy mogą zasugerować użycie request.getHeader("referer") w formularzu logowania zamiast request.getRequestURI() w łączu/przycisku przed zalogowaniem, ale nie zrobiłbym tego, ponieważ jest on sterowany przez klienta i nie zawsze zwraca wiarygodne informacje . Niektórzy klienci je wyłączyli lub używają oprogramowania, które fałszuje je z nieprawidłową wartością, na przykład większość (kaszel). Produkty firmy Symantec mają.

Answer 2

Jeśli chcesz to zrobić ze stronami, twoja strona logowania może zobaczyć nagłówek referer (sic) w żądaniu, które go załadowało (request.getHeader("referer")), aby sprawdzić, czy jest to strona w twojej witrynie (jeśli nie - lub jeśli brakuje nagłówka - użyj jakiejś wartości domyślnej). Następnie zapisałby ten URL (prawdopodobnie użyłbym ukrytego pola, jak powiedziałeś, w formularzu logowania, ale var sesji też by działał). Po zakończeniu logowania wyślij przekierowanie do zapisanego adresu URL.

W dzisiejszych czasach prawdopodobnie użyłbym tego jako mechanizmu rezerwowego, gdybym nie mógł wykonać logowania, nakładając okno dialogowe na stronę i logując się przez Ajax - i tak, nigdy nie opuszczając strony w ogóle .

---

Edit Albo jeszcze lepiej, jak Bozho wskazuje zakodowanie strony docelowej w linku do strony logowania. Chociaż jest to nie prawdziwe, że IE nie ustawia nagłówka "referer" (tak), referer nie jest wymagany i może być wyłączony, a ponieważ już dynamicznie tworzysz stronę łączącą się z formularzem logowania, po co być wrażliwym do tego, jeśli nie musisz.

Answer 3

od: http://static.springsource.org/spring-security/site/docs/3.0.x/reference/springsecurity.pdf

rozdziale: Application Flow w Authentication sukcesów i niepowodzeń

... Jeśli uwierzytelnianie zakończy się pomyślnie, otrzymany przedmiot uwierzytelniania zostaną umieszczone w SecurityContextHolder. Skonfigurowany AuthenticationSuccessHandler zostanie wywołany w celu przekierowania lub przekazania użytkownika do odpowiedniego miejsca docelowego. Domyślnie używany jest SavedRequestAwareAuthenticationSuccessHandler, co oznacza, że ​​użytkownik zostanie przekierowany do miejsca docelowego, którego zażądał, zanim zostanie poproszony o zalogowanie się. ...

Answer 4

Używanie ukrytego pola w formularzu jest dość standardowe. Po co próbować odkrywać nowe koło?

Answer 5

Twoje pierwsze sugerowane podejście jest najlepsze. Masz ukryte pole z numerem value=request.getRequestURI() i przekierowanie do tego identyfikatora URI po zalogowaniu.

Używanie referer nie będzie działać, ponieważ IE (przynajmniej niektóre z jego wersji) nie ustawi nagłówka referer.

Przechowywanie parametru w sesji spowoduje dziwne zachowanie, jeśli użytkownik otworzy wiele kart.

Edit: Aby zilustrować pytanie lepiej:

some resource -> (requests protected resource) -> (gets forwarded to the login page) -> (should be redirected to the original resource)

Większość odpowiedzi zakładają, że "login"/przycisk kliknięciu łącza, a następnie strona logowania jest otwarty. To tylko jedna strona historii. W takim przypadku oryginalny URL zasobu może zostać dodany jako parametr i umieszczony w formularzu logowania (w ukrytym polu).

Ale w przypadku przekazanie z chronionego zasobu do strony logowania, ukryte pole powinno zawierać natychmiastowy adres URL żądania.

To oczywiście nie jest to, co jest w pytaniu, ale ostatecznie powstanie jako sytuacja i powinno być również brane pod uwagę.

Answer 6

OK, oto co zrobiłem. Logowanie jest dwuetapowym procesem z jednym serwletem, który pokazuje formularz, a inny kontroluje, czy kombinacja nazwa użytkownika i hasło jest poprawna. Oba można połączyć.

parametr może być wysłany za pomocą formularza lub za pośrednictwem łącza (JP nie zostały jeszcze dodane)

out.println("Login <a href='LoginServlet?comeback=home'>here</a><br>"); 

Parametr ten jest następnie pobierana w następujący sposób:

String comeback = request.getParameter("comeback"); 

Kiedy informacje logowania zostały sprawdzone, przekierowanie można wykonać w następujący sposób:

RequestDispatcher rd = request.getRequestDispatcher(redirectionPath); 

if(rd != null) 
    rd.forward(request, response);