什麼是在Spring中自定義LogoutFilter的推薦方式？

Question

我有一個基於spring的web應用程序，我需要用戶在滿足特定條件時自動註銷。我想要達到的效果與用戶導航到在<security:logout logout-url="url" success-handler-ref="handler" />中配置的logout-url相同。

據我所知，這發生在LogoutFilter，其中所有LogoutHandlers被稱爲爲此過濾器定義。

我的想法是創建LogoutFilter一個子類，這樣我可以在requiresLogout(HttpServletRequest request, HttpServletResponse response)方法實現自己的邏輯：

public class CustomLogoutFilter extends LogoutFilter { 

    public CustomLogoutFilter(LogoutSuccessHandler logoutSuccessHandler, LogoutHandler... handlers) { 
     super(logoutSuccessHandler, handlers); 
    } 

    public CustomLogoutFilter(String logoutSuccessUrl, LogoutHandler... handlers) { 
     super(logoutSuccessUrl, handlers); 
    } 

    @Override 
    protected boolean requiresLogout(HttpServletRequest request, HttpServletResponse response) { 
     boolean result = super.requiresLogout(request, response); 
     result &= isCustomCondition(); 

     return result; 
    } 

    private boolean isCustomCondition(){ 
     // evaluate custom condition and return the value 
    } 
} 

我試着聲明CustomLogoutFilter與LogoutFilter作爲其父豆，但沒有按似乎沒有工作。

是否有可能配置CustomLogoutFilter的方式，它使用的是web應用程序而不是標準的LogoutFilter？有沒有推薦的方法來實現這個邏輯？

我正在使用spring-security v。3.2.5。

Answer 1

如果您使用Java的配置，而不是Security Namespace（XML）的配置，你可以寫你自己的RequestMatcher，並將它們添加到LogoutFilter，看到LogoutConfigurer#logoutRequestMatcher：

觸發註銷發生的RequestMatcher。在大多數情況下，用戶將使用logoutUrl(String)，這有助於實施良好的做法。