spring - Spring Security CookieTheftException

我在Spring Boot应用程序中使用PersistentTokenBasedRememberMeServices（Spring Security 4.0.3）。这是令牌配置的片段：

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
        .failureHandler(myAuthenticationFailureHandler).loginProcessingUrl("/login").usernameParameter("username").passwordParameter("password")
        .and().exceptionHandling()
        .and().authorizeRequests()
        .antMatchers(this.getOpenURLS()).permitAll().anyRequest().authenticated().and().addFilterAfter(new CsrfHeaderFilter(), CsrfFilter.class).csrf().csrfTokenRepository(csrfTokenRepository())
        .and().rememberMe().rememberMeServices(rememberMeServices()).key(C_REMEMBER_ME_APP_KEY).and().logout();
    }

    @Bean
    public AbstractRememberMeServices rememberMeServices() {
        PersistentTokenBasedRememberMeServices rememberMeServices = null;
        try {
            rememberMeServices = new PersistentTokenBasedRememberMeServices(C_REMEMBER_ME_APP_KEY, userDetailsService, persistentTokenRepository());
            rememberMeServices.setTokenValiditySeconds((int) TimeUnit.SECONDS.convert(2, TimeUnit.DAYS));
            rememberMeServices.setParameter(C_REMEMBER_ME_PARAMETER);
        } catch (SQLException e) {
            e.printStackTrace();
        }
        return rememberMeServices;
    }

配置按预期工作，我遇到的问题是，每当出现org.springframework.security.web.authentication.rememberme.CookieTheftException时，我都无法处理/捕捉。例如，由于我想确保可以捕获此异常，因此我开始与用户进行会话，进入数据库并更改了令牌（将令牌更改为浏览器中存储的其他值），然后重新启动了Tomcat服务器。当我尝试访问应用程序时，立即抛出CookieTheftException。

我的配置中有一个SimpleMappingExceptionResolver Bean，如下所示：

@Bean(name = "simpleMappingExceptionResolver")
public SimpleMappingExceptionResolver createSimpleMappingExceptionResolver() {
    SimpleMappingExceptionResolver r = new SimpleMappingExceptionResolver();
    Properties mappings = new Properties();

    mappings.setProperty("CookieTheftException", "cookieException");
    mappings.setProperty(".CookieTheftException", "cookieException");
    mappings.setProperty("org.springframework.security.web.authentication.rememberme.CookieTheftException", "cookieException");

    r.setOrder(Integer.MIN_VALUE);
    r.setExceptionMappings(mappings);
    r.setDefaultErrorView("error");
    r.setExceptionAttribute("ex");
    r.setWarnLogCategory("example.MvcLogger");
    return r;
}

另外，我添加了一个@ControllerAdvice，如下所示：

@ControllerAdvice
public class GlobalDefaultExceptionHandler {

public static final String DEFAULT_ERROR_VIEW = "errorCookie";

@ExceptionHandler(value = Exception.class)
public ModelAndView defaultErrorHandler(HttpServletRequest req, Exception e) throws Exception {

    ModelAndView mav = new ModelAndView();
    mav.addObject("exception", e);
    mav.addObject("url", req.getRequestURL());
    mav.setViewName(DEFAULT_ERROR_VIEW);
    return mav;
}

}

不幸的是，这些都无法捕获异常。奇怪的是，如果我在任何控制器中手动引发异常，则该异常将由当前配置成功处理。

看起来好像由于DispatcherServlet引发了异常，所以@ControllerAdvice或SimpleMappingExceptionResolver都能够捕获该异常？我想念什么吗？任何帮助将不胜感激。谢谢。

最佳答案

我为此苦苦挣扎了很长时间，找不到任何有意义的东西。当我研究您关于使用ErrorController的建议时，我注意到BasicErrorController这样说：

* {@code @ExceptionHandler}) or by adding servlet * {@link AbstractEmbeddedServletContainerFactory#setErrorPages container error pages}.

既然您说过您的解决方法是可行的，那么我假设可以通过使用addErrorPages将它们添加到servlet容器中来捕获相同的错误。瞧瞧，在我的@Configuration类中：

@Bean
public EmbeddedServletContainerCustomizer containerCustomizer() {
    return container -> {
        container.addErrorPages(new ErrorPage(CookieTheftException.class, "/login"));
    };
}

我只是希望用户在此异常之后必须再次登录，因此您可以看到我只是将他们发送到登录页面。