JSF жизнь после выхода

Question

Я использую аутентификацию на основе форм.

У меня есть ссылка для выхода из системы, которая выглядит следующим образом:

<h:commandLink action="#{loginBean.logout}">
    <h:outputText value="logout" />
</h:commandLink></div>

И соответствующий метод выхода из системы:

public String logout() {
    FacesContext.getCurrentInstance().getExternalContext().invalidateSession();

    return "/view/index?faces-redirect=true"; // Redirect added as per BalusC's suggestion.
}

После нажатия на ссылку выхода я возвращаюсь на первую страницу, но без CSS. Когда я нажимаю кнопку для запуска поиска, я получаю следующую ошибку:

javax.faces.application.ViewExpiredException: viewId:/view/index.jsf - View /view/index.jsf could not be restored.

И все же CSS на самом деле находится в / resources, который не должен требовать аутентификации, как я понимаю мой web.xml:

    <security-constraint>
    <web-resource-collection>
        <web-resource-name>fizio</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
</security-constraint>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Unprotected area</web-resource-name>
        <url-pattern>/resources/*</url-pattern>
    </web-resource-collection>
</security-constraint>

Похоже, из этого состояния я могу снова войти в систему и увидеть некоторые данные между случайными ошибками просмотра, которые невозможно восстановить, но без CSS. Это все немного сломано на самом деле. Мы ценим любые предложения.

ETA: Форма входа:

<form method="POST" action="j_security_check">
    <label for="j_password">Username:</label> <input type="text" name="j_username" />
    <br />
    <label for="j_password">Password:</label> <input type="password" name="j_password" /> <input type="submit" value="Login" />
</form>

Answer 1

Вы должны перенаправить после аннулирования. В противном случае страница будет показана в разгар "аннулированного" сеанса. добавлять faces-redirect=true к результату, чтобы вызвать перенаправление.

public String logout() {
    FacesContext.getCurrentInstance().getExternalContext().invalidateSession();
    return "/index?faces-redirect=true";
}

Перенаправление заставит веб-браузер запустить новый запрос GET после ответа POST и, в свою очередь, заставит сервер создать новый сеанс. Таким образом, представления будут работать так, как задумано.

Что касается CSS-ресурсов, им, видимо, все еще нужен логин. Ограничение "Незащищенная область", которое у вас там, не сработает. Удалите его и измените шаблон URL вашего основного ограничения безопасности, например /app/* или какой-либо общий путь охраняемой территории.