Truy cập RequestContextHolder và HttpServletRequest.getUserPrincipal() từ AuthenticationSuccessHandler

Question

Tôi có một ứng dụng Spring-MVC (tức là tôi đang sử dụng servlet dispatcher của Spring). Tôi cũng đang sử dụng Spring Security để xác thực người dùng. Kể từ khi tôi sử dụng servlet phối của mùa xuân, tôi không phải khai báo

<listener> 
    <listener-class>org.springframework.web.context.request.RequestContextListener</listener-class> 
    </listener> 

trong web.xml của tôi để có thể sử dụng RequestContextHolder (nếu tôi hiểu đúng các tài liệu hướng dẫn).

Câu hỏi của tôi liên quan đến việc thực hiện của tôi về giao diện org.springframework.security.web.authentication.AuthenticationSuccessHandler:

public class AuthenticationSuccessHandlerImpl implements AuthenticationSuccessHandler { 

    @Override 
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws ServletException, IOException { 

     int timeout = 60*60; 

     //does work 
     request.getSession().setMaxInactiveInterval(timeout); //60 minutes 
     System.out.println("Session timeout of user: " + authentication.getName() + " has been set to: " + timeout + " seconds."); 

     /* 
     //does not work 
     session().setMaxInactiveInterval(timeout); //60 minutes 
     System.out.println("Session timeout of user: " + request.getUserPrincipal().getName() + " has been set to: " + timeout + " seconds."); 
     */ 

     //now restore the default work flow (SavedRequestAwareAuthenticationSuccessHandler is the default AuthenticationSuccessHandler that Spring uses, 
     // see: http://static.springsource.org/spring-security/site/docs/3.0.x/reference/core-web-filters.html#form-login-flow-handling) 
     (new SavedRequestAwareAuthenticationSuccessHandler()).onAuthenticationSuccess(request, response, authentication); 
    } 

    public static HttpSession session() { 
     ServletRequestAttributes attr = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes(); 
     return attr.getRequest().getSession(true); // true == allow create 
    } 
} 

Ông có thể giải thích tại sao trong mã đề cập ở trên, RequestContextHolder.currentRequestAttributes() và HttpServletRequest.getUserPrincipal() không làm việc (họ làm việc bên trong một Controller)?

Cảm ơn!

Answer 1

Bảo mật mùa xuân dựa trên bộ lọc. Đó là lý do tại sao bạn cần RequestContextListener được định nghĩa vì DispatcherServlet sẽ không được gọi ra khi công cụ bảo mật mùa xuân xảy ra và bối cảnh yêu cầu mùa xuân sẽ không được thiết lập.