会话固定 - 在会话中访问值时发生错误

Question

我在写一个使用Spring安全插件的Grails应用程序。我打开了以下属性为春季安全插件

grails.plugins.springsecurity.useSessionFixationPrevention =真 grails.plugins.springsecurity.SessionFixationPrevention.migrate =真 grails.plugins.springsecurity.SessionFixationPrevention.alwaysCreateSession =真正

我在我的AuthenticationProvider下面的代码

高清会议= 个RequestContextHolder.currentRequestAttributes（）的getSession（）

session.key =“一些价值”

现在的身份验证后，我在我的RememberMeService类的loginSuccess方法的代码被调用，当我试图让在会话中值被放置，我得到这个错误

Ĵ

ava.lang.IllegalStateException：的getAttribute：会话已经 INV在 org.apache.catalina.session.StandardSession.getAttribute（StandardSession.java:1014） 在 org.apache.catalina.session.StandardSessionFacade.getAttribute（StandardSessionFacade.java:110） alidated在 org.codehaus.groovy .grails.web.servlet.mvc.GrailsHttpSession.getAttribute（GrailsHttpSession.java:45） 在sun.reflect.NativeMethodAccessorImpl.invoke0（本机方法）在 sun.reflect.NativeMethodAccessorImpl.invoke（NativeMethodAccessorImpl.java:39） 在 sun.reflect.DelegatingMethodAccessorImpl.invoke（DelegatingMethodAccessorImpl.java:25） at java.lang.reflect.Method.invoke（Method.java:597）at org.codehaus.groovy.runtime.callsite.PojoMetaMethodSite $ PojoCachedMethodSiteNoUnwrapNoCoerce.invoke（PojoMetaMethodSite.java:229） 在 org.codehaus.groovy.runtime.callsite.PojoMetaMethodSite.call（PojoMetaMethodSite.java:52） 在 org.codehaus.groovy.runtime.callsite.CallSiteArray.defaultCall（ CallSiteArray.java:40） 在 org.codehaus.groovy.runtime.callsite.PojoMetaMethodSite.call（PojoMetaMethodSite.java:54） 在 org.codehaus.groovy.runtime.callsite.AbstractCallSite.call（AbstractCallSite.java： 124） 在 org.codehaus.groovy.grails.plugins.web.ServletsGrailsPlugin $ _closure1_closure2.doCall（ServletsGrailsPlugin.groovy：44） 在sun.reflect.NativeMethodAccessorImpl.invoke0（本机方法）在 sun.reflect.NativeMethodAccessorImpl.invoke（NativeMethodAccessorImpl.java:39） 在 sun.reflect.DelegatingMethodAccessorImpl.invoke（DelegatingMethodAccessorImpl.java:25） 在java.lang.reflect.Method.invoke（Method.java:597）在 org.codehaus.groovy.reflection.CachedMethod.invoke（CachedMethod.java:88） 在 org.codehaus.groovy.runtime.metaclass.ClosureMetaMethod.invoke（ClosureMetaMethod.java:80） 在 groovy.lang。 ExpandoMetaClass.getProperty（ExpandoMetaClass。的java：1109） 在 org.codehaus.groovy.runtime.InvokerHelper.getProperty（InvokerHelper.java:161） 在 org.codehaus.groovy.runtime.callsite.PojoMetaClassGetPropertySite.getProperty（PojoMetaClassGetPropertySite.java:33） 在 org.codehaus.groovy.runtime.callsite.AbstractCallSite.callGetProperty（AbstractCallSite.java:235） 在 com.teslagovernment.security.TabulaeRememberMeServices.loginSuccess（TabulaeRememberMeServices.groovy：59） 在 org.springframework.security.web .authentication.AbstractAuthenticationProcessingFilter.successfulAuthentication（AbstractAuthenticationProcessingFilter.java:294） at org.springframework.secu rity.web.authentication.AbstractAuthenticationProcessingFilter.doFilter（AbstractAuthenticationProcessingFilter.java:218） 在 org.codehaus.groovy.grails.plugins.springsecurity.RequestHolderAuthenticationFilter.doFilter（RequestHolderAuthenticationFilter.java:40） 在 org.springframework.security。 web.FilterChainProxy $ VirtualFilterChain.doFilter（FilterChainProxy.java:378） 在 org.codehaus.groovy.grails.plugins.springsecurity.MutableLogoutFilter.doFilter（MutableLogoutFilter.java:79） 在 org.springframework.security.web。 FilterChainProxy $ VirtualFilterChain.doFilter（FilterChainProxy.java:378） at org.springframework.security.web.context.SecurityContextPersistenceFilter.doFilter（Se curityContextPersistenceFilter.java:79） 在 org.springframework.security.web.FilterChainProxy $ VirtualFilterChain.doFilter（FilterChainProxy.java:378） 在 org.springframework.security.web.FilterChainProxy.doFilter（FilterChainProxy.java:167） 在 org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate（DelegatingFilterProxy.java:237） 在 org.springframework.web.filter.DelegatingFilterProxy.doFilter（DelegatingFilterProxy.java:167） 在 org.apache.catalina .core.ApplicationFilterChain.internalDoFilter（ApplicationFilterChain.java:235） at org.apache.catalina.core.ApplicationFilterChain.doFilter（ApplicationF ilterChain.java:206） 在 org.codehaus.groovy.grails.web.servlet.filter.GrailsReloadServletFilter.doFilterInternal（GrailsReloadServletFilter.java:104） 在 org.springframework.web.filter.OncePerRequestFilter.doFilter（OncePerRequestFilter。的java：76） 在 org.apache.catalina.core.ApplicationFilterChain.internalDoFilter（ApplicationFilterChain.java:235） 在 org.apache.catalina.core.ApplicationFilterChain.doFilter（ApplicationFilterChain.java:206） 在 有机.codehaus.groovy.grails.web.servlet.mvc.GrailsWebRequestFilter.doFilterInternal（GrailsWebRequestFilter.java:69） at org.springframework.web.filter.OncePerRequestFilter。的doFilter（OncePerRequestFilter.java:76） 在 org.apache.catalina.core.ApplicationFilterChain.internalDoFilter（ApplicationFilterChain.java:235） 在 org.apache.catalina.core.ApplicationFilterChain.doFilter（ApplicationFilterChain.java:206） 在 org.codehaus.groovy.grails.web.filters.HiddenHttpMethodFilter.doFilterInternal（HiddenHttpMethodFilter.java:65） 在 org.springframework.web.filter.OncePerRequestFilter.doFilter（OncePerRequestFilter.java:76） 在 有机.apache.catalina.core.ApplicationFilterChain.internalDoFilter（ApplicationFilterChain.java:235） at org.apache.catalina.core.ApplicationFilterChain。的doFilter（ApplicationFilterChain.java:206） 在 org.springframework.web.filter.CharacterEncodingFilter.doFilterInternal（CharacterEncodingFilter.java:88） 在 org.springframework.web.filter.OncePerRequestFilter.doFilter（OncePerRequestFilter.java:76） 在 org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate（DelegatingFilterProxy.java:237） 在 org.springframework.web.filter.DelegatingFilterProxy.doFilter（DelegatingFilterProxy.java:167） 在 org.apache.catalina .core.ApplicationFilterChain.internalDoFilter（ApplicationFilterChain.java:235） at org.apache.catalina.core.ApplicationFilterChain.doFilter（Appli cationFilterChain.java:206） 在 org.apache.catalina.core.StandardWrapperValve.invoke（StandardWrapperValve.java:233） 在 org.apache.catalina.core.StandardContextValve.invoke（StandardContextValve.java:191） 在 org.apache.catalina.core.StandardHostValve.invoke（StandardHostValve.java:128） 在 org.apache.catalina.valves.ErrorReportValve.invoke（ErrorReportValve.java:102） 在 org.apache.catalina.core .StandardEngineValve.invoke（StandardEngineValve.java:109） at org.apache.catalina.connector.CoyoteAdapter.service（CoyoteAdapter.java:293） at org.apache.coy ote.http11.Http11Processor.process（Http11Processor.java:849） 在 org.apache.coyote.http11.Http11Protocol $ Http11ConnectionHandler.process（Http11Protocol.java:583） 在 org.apache.tomcat.util.net。 JIoEndpoint $ Worker.run（JIoEndpoint.java:454）

我的问题是，为什么会出现这种情况，我怎么能在我的AuthenticationProvider 组数据，我可以在我的RememberMeService访问？

感谢

Answer 1

尝试验证后立即发出重定向和访问任何复制的会话属性之前。认证后，服务权限中的会话变量可能仍然是从请求上下文引用旧会话。重定向将刷新请求上下文。

否则，您可以在您的AuthenticationProvider中的spring安全主体对象中存储任何其他属性。在您的提供者之外，您可以通过applicationContext中的springSecurityService访问委托人：

MyPrincipalObject obj = springSecurityService.principal 
def key = obj.key