会话过期后，Spring Boot 安全性不会重定向

Question

我一直在使用 spring boot，以 spring security 和 Ext Js 作为前端。 我添加了这段代码作为 spring 安全的配置。 这意味着，当会话过期时，用户将被重定向到引用的 url，对吗？

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().and()
            .authorizeRequests().antMatchers("/", "/login/**").permitAll().and()
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .loginProcessingUrl("/userAuth")
            .permitAll()
            .and()
            .logout()
            .permitAll()
            .and()
            .authorizeRequests()
            .antMatchers(HttpMethod.POST, "/**").permitAll();

            http.csrf().disable();
            http.headers().frameOptions().disable();

            http.sessionManagement().maximumSessions(1).expiredUrl("/login?logout");
}

每次我的前端向 spring 发送 ajax 请求，并且用户丢失会话时，spring 会将请求转换为对 /login?logout 的 get 请求，正如预期的那样，但页面没有被重定向。 我只能看到请求响应内容上的登录页面，对用户看到的页面没有任何影响。

为什么会发生这种情况？ 我在这里缺少任何配置或实现吗？

编辑：这是我的 AJAX 请求的 Ext Js 的样子：

onAuthCheck: function (users) {

    var result = Ext.Ajax.request({
        url: '/Queue/requests/loginCheck',
        method: 'POST',
        async: false,
        params: {
            usersInfo: Ext.encode(users)
        },
        success: function (conn, response, options, eOpts) {
            console.log(response)
            console.log(conn.status);
            if (conn.status === 401 || conn.status === 302) {
                location.href='/login?logout';
           }
        },
        failure: function (conn, response, options, eOpts) {
            console.log(response)
            console.log(conn.status)
            if (conn.status === 401 || conn.status === 302) {
                location.href='/login?logout';
           }
        }
    })
    return (Ext.JSON.decode(result.responseText, true).success);
},

EDIT2：这是我的请求的样子：它有一个状态为 302 的请求，但我仍然在 JS 代码的 AJAX 响应中获得 200 状态。

Answer 1

简短而简单的答案：

由于您通过 AJAX 提交请求，因此响应不会“影响”您当前加载的页面。

更准确地说：

如果在响应标头中找到 HTTP 重定向代码（301、302、303），则大多数浏览器（我所知道的）仅重定向（尊重位置标头）。 所以从技术上讲，如果 spring 将 302 http 状态代码与身份验证 url 一起发送，浏览器将切换位置。

据我所知，如果它是一个GET 请求，Spring 会发送一个 302

一个简单的解决方案：

这是 Javascript 和 JQuery 的一种方法：检查 ajax 响应的结果。 （这只是给你一个方向的例子，会有更多的解决方案。

    $.ajax({
        type: 'POST',
        url: '/url',
        success: function (result, status) {
            if (result.status === 401) {
                 location.href='/login?logout';
            }
        }
    });

Answer 2

您可以编写此函数，每次调用 ajax 请求时都会触发它。

$(document).ajaxComplete(function(result, status) {
    if(status.status == 401){
        location.href = "/login?logout";
    }
});