Problème critique de sécurité avec les Sessions en couple JSF+Spring

**bruneltouopi** · 07/08/2015, 15h16

Bonjour,
Les informations sont partagées entre les users
J'ai utilisé spring+JSF la sécurité utilisateur marchait avant quand l'architecture était EJB-JSF(Spring-JSF) maintenant.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
@Component
@ManagedBean(name = "connectionController")
@SessionScoped
public class ConnectionController implements Serializable {
 FacesContext ctx = FacesContext.getCurrentInstance();
 Personne u = securiteUser.getAuthentification(login,password);
//verification
//si OK chargement des sessions user
 ctx.getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_USER, u);
 
  Collection<Menu> menusUser = securiteUser.getMenusForUser(u);
           Map<String, String> mesChemin = new HashMap<>();
                    for (Menu menu : menusUser) {
                        mesChemin.put(menu.getChemin(), menu.getCode());
                    }
//chargement des menus de securité
ctx.getExternalContext().getSessionMap().put(GlobalFonctions.MENUS_USER, mesChemin);
 
}

J'ai une méthode qui lit ensuite le Map de session ctx.getExternalContext().getSessionMap().get(GlobalFonctions.MENUS_USER);
Mon souci est que cette variable est partagée aux différents utilisateurs.
Quelque fois une utilisateur se retrouve avec les privilèges d'un autre.
je ne sais pas comment cela se passe mais ca se passe.

**Cafeinoman** · 08/08/2015, 19h24

Je doute que le problème viennent de jsf... Tu peux poster la classe de ta variable securiteUser?

**tchize_** · 09/08/2015, 00h41

Ce code n'est même pas dans une méthode. Je ne vois pas comment ça pourrait ne serait-ce que compiler, encore moins fonctionner. Ils sortent d'où securiteUser, login,password? Elle fait quoi ta méthode getAuthentification? Il ressemble à quoi ton objet Personne? Y a quoi dans ta classe Menu et dans ton getMenusForUser?

**bruneltouopi** · 10/08/2015, 11h37

Désolé si je n'ai pas mis les tous les détails mais je les ajouterais graduellement au besoin

Envoyé par Cafeinoman

Je doute que le problème viennent de jsf... Tu peux poster la classe de ta variable securiteUser?

Le probleme ne vient pas justement de JSF.La classe securiteUser n'est pas le problème non plus c'est une component Spring dont voici la déclaration

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
@Service
@Transactional(readOnly=true)
public class Securite implements ISecurite {
 
}

Envoyé par tchize_

Ce code n'est même pas dans une méthode. Je ne vois pas comment ça pourrait ne serait-ce que compiler, encore moins fonctionner. Ils sortent d'où securiteUser, login,password? Elle fait quoi ta méthode getAuthentification? Il ressemble à quoi ton objet Personne? Y a quoi dans ta classe Menu et dans ton getMenusForUser?

Tous ces details ne sont pas très important.la classe securiteUser contient la methode getAuthentification

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
 public Personne getAuthentification(String login,String pwd) {
 
        String pwdCript=Crypto.sha256(pwd);
        String jpql = "SELECT us FROM Personne us WHERE us.matricule = :mat and us.pwd = :Pwd";
        Map<String, Object> param = new HashMap<>();
        param.put("mat", login);
        param.put("Pwd", pwdCript);
        Personne user = userDao.findEntityByUsingQuery(jpql, param);
        return user;    
    }

login et password sont les variables saisies par l'utilisateur.Personne et Menu sont des entités.
Bref ce code etait fonctionnelle jusqu'au moment oû je constate que les variables de ma session connectionController sont partagés.

J'ai un Listener qui s'exécute sur les phases de jsf avant l'affichage d'une page pour la sécurité declaré
dans mon fichier faces-config
<lifecycle>
<phase-listener>listeners.MonPhaseListener</phase-listener>
</lifecycle>

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
public class MonPhaseListener extends DelegatingPhaseListenerMulticaster implements ServletContextListener,Serializable{

  
     private static final long serialVersionUID = 1L;
  
       public MonPhaseListener() {
    }

    @Override
    public void beforePhase(PhaseEvent pe) {
        if (pe.getPhaseId() == PhaseId.RESTORE_VIEW) {
            System.out.println("Nouvelle requête en cours ...");
        }
        System.out.println("avant - " + pe.getPhaseId().toString());
    }

    @Override
    public void afterPhase(PhaseEvent pe) {
//        System.out.println("après - " + pe.getPhaseId().toString());
        if (pe.getPhaseId() == PhaseId.RESTORE_VIEW) {
            System.out.println("Fin d’analyse de la requête.\n");

            FacesContext fc = pe.getFacesContext();
           this.redirectPage(fc);
        }
    }
    
    /**
     * Rediriger les pages en verifiant les contraintes de licence et config
     * @param fc 
     */
    public void redirectPage(FacesContext fc){
       String currentPage = fc.getViewRoot().getViewId();
            System.out.println(currentPage);
            //teste que c la page de login
            boolean loginPage = (currentPage.contains("connection.xhtml") || currentPage.contains("licence.xhtml"));
            //teste si c'est une page xhtml
            boolean xhtmlPage = (currentPage.contains(".xhtml"));
           // ConnectionController connectController = null;
            //si c'est une page differente de login
            if (!loginPage && xhtmlPage) {
                boolean isLogged = false;
                System.out.println("test con");
           
                 WebApplicationContext ctx = WebApplicationContextUtils
                .getRequiredWebApplicationContext((ServletContext) FacesContext
                        .getCurrentInstance().getExternalContext().getContext());
        ConnectionController connectController= ctx.getBean(ConnectionController.class);
                   
                NavigationHandler nh = fc.getApplication().getNavigationHandler();
                if (connectController != null) {
                    System.out.println("Connection OK");
/**** LES VARIABLES DE connectController  SONT REINITIALISEES******/
                    isLogged = connectController.isIsLoggedIn();
                    int status = connectController.verifyContrainstBeforeToOpenPage();

                    switch (status) {
                       
                        case GlobalFonctions.GO_TO_CONNECT:
                            nh.handleNavigation(fc, null, "client.deconnect");
                            break;
                        case GlobalFonctions.GO_TO_LICENCE:
                            nh.handleNavigation(fc, null, "license");
                            break;
//                         case GlobalFonctions.GO_TO_CONFIG:
//                            nh.handleNavigation(fc, null, "configuration");
//                            break;
                        case GlobalFonctions.GO_TO_PAGE:
                            this.checkSecurePage(currentPage, fc);
                            connectController.afficheLibellePage();
                            break;
                    }
                } else {
                    System.out.println("Connection NULL");
                    nh.handleNavigation(fc, null, "client.deconnect");
                }

            }  
    }

    /**
     * Verifier les contraintes de securite des users s'ils ont acces la page demande
     * @param currentPage
     * @param fc 
     */
    public void checkSecurePage(String currentPage, FacesContext fc) {
        NavigationHandler nh = fc.getApplication().getNavigationHandler();
        //c'est bien mais verifions que c   le menu qui lui appartient
        String[] myDecomposePage = new String[2];
        myDecomposePage = currentPage.split("\\.");
        String chemin = myDecomposePage[0];
        Map<String, String> colMenu = (HashMap<String, String>) fc.getExternalContext().getSessionMap().get(GlobalFonctions.MENUS_USER);

        if (colMenu != null && !colMenu.isEmpty()) {
            String page = colMenu.get(chemin);
            System.out.println("ma page=" + page);

            fc.getExternalContext().getRequestMap().put("page", page);

        //enlevons principal et pagerror
            if (!chemin.equalsIgnoreCase("/licence") && !chemin.equalsIgnoreCase("/principal") && !chemin.equalsIgnoreCase("/errorpage") &&
                    !chemin.equalsIgnoreCase("/profil")) {
                if (colMenu.containsKey(chemin) == false) {
                    nh.handleNavigation(fc, null, "pageerror");
                }
            }
        } else {
            System.out.println("Pas de Menus Operationelles");
            nh.handleNavigation(fc, null, "client.deconnect");
        }

    }
    
    
    @Override
    public PhaseId getPhaseId() {
        //je prend juste les vues finales
        return PhaseId.RESTORE_VIEW;
    }

    @Override
    public void contextInitialized(ServletContextEvent sce) {
     }

    @Override
    public void contextDestroyed(ServletContextEvent sce) {
     }
}

Après plusieurs recherches voici ce qu'il en ressort
Qu'il faut remplacer @SessionScoped avec @Scope("session") de Spring
après cela je me retrouve avec un warning

09:54:27.714 [http-bio-8080-exec-32] WARN o.s.w.c.r.FacesRequestAttributes - Could not register destruction callback [org.springframework.beans.factory.support.DisposableBeanAdapter@68e89290] for attribute 'connectionController' because FacesRequestAttributes does not support such callbacks

après quelques recherches j'ai lu qu' il faut ajouter

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 <listener>
    <listener-class>org.springframework.web.context.request.RequestContextListener</listener-class>
</listener>

bref la même erreur persiste.
Mon veritable souci actuellement se situe au niveau du Listener après la récuperation de la classe connectionController

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
WebApplicationContext ctx = WebApplicationContextUtils
                .getRequiredWebApplicationContext((ServletContext) FacesContext
                        .getCurrentInstance().getExternalContext().getContext());
        ConnectionController connectController= ctx.getBean(ConnectionController.class);

Elle ne garde pas les valeurs de la session ce qui est pourtant la cas quand cette classe est déclarée avec @SessionScoped.
Je rappelle juste que ce code en version J2EE.je recuperais cette classe avec

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

             ConnectionController connectController = (ConnectionController)FacesContext.getCurrentInstance().getExternalContext().getSessionMap().get("connectionController");

.

Voici comment la sécurité a été implémenté.
A-dans la classe ConnectionController de type Session
1-Login de l'user
2-Verification des contraintes licence et configurations avec la methode

verifyContrainstBeforeToOpenPage();

3-Chargement des menu de l'user depuis la bd pour lui afficher cela.
4-Redirection vers la page principale

B-Execution du Listener MonPhaseListener
ce listener s'execute à chaque ouverture de page ainsi on peut controler si un user execute une page sur le navigateur alors qu'il n'a pas l'acces à cette page dans ses menu
1-Exécution de la méthode redirectPage(FacesContext)
on recupere la classe connectionController et on verifie des contraintes
ICI PROBLEME les Variables se sont initialises comme si c'est une nouvelle instance

Bon je m'arrète là je suis ouvert aux suggestions s'il y'a une autre facon de faire dans mon cas.
Merci

**devyreham** · 10/08/2015, 15h27

juste cette ligne qui m'intrigue.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

FacesContext ctx = FacesContext.getCurrentInstance();

C'est juste une piste. Les Bean Spring sont par défaut des singleton. Ici en "SessionScoped" ils y ajoutent un mecanisme de proxy. Le Bean controller se multiplie. Mais a ce moment pas sur que le contexte soit cohérent pour FacesContext (est ce que Spring en créé un nouveau par proxy, ou par requete ou par application? Ce que J2EE ne faisait pas)

**bruneltouopi** · 10/08/2015, 15h50

Envoyé par devyreham

juste cette ligne qui m'intrigue.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

FacesContext ctx = FacesContext.getCurrentInstance();

C'est juste une piste. Les Bean Spring sont par défaut des singleton. Ici en "SessionScoped" ils y ajoutent un mecanisme de proxy. Le Bean controller se multiplie. Mais a ce moment pas sur que le contexte soit cohérent pour FacesContext (est ce que Spring en créé un nouveau par proxy, ou par requete ou par application? Ce que J2EE ne faisait pas)

C'est justement une composante que je ne maitrise pas. je vais creusé avec @Scope("session") de Spring.car le partage de sessions avec @SessionScoped de jsf est effectif ce qui n'est pas tolerable.

**tchize_** · 10/08/2015, 18h59

Securite est déclaré comme un service, donc un singleton. Ce Securite utilise un dao, donc tous tes utilisateurs utilisent le même DAO => montre le code de ce dao

Si comme tu le dit, deux sessions on la même instance dans "ctx.getExternalContext().getSessionMap().get(GlobalFonctions.MENUS_USER)", c'est que tu y a mis deux fois cette instance. Comme ce que tu y met c'est la sortie de public Personne getAuthentification(String login,String pwd), qui lui même remballe la sortie de userDao.findEntityByUsingQuery(jpql, param), ça signifie, à l'aveugle puisqu'on a le code au compte goutte, soit que ton userDAO renvoie n'importe quoi, soit que t'as eu deux appel du dao avec les même user/password, ce qui me renvoie à ma question initiale de savoir s'où il sortent (on ne les vois déclaré nulle part dans ton code, donc on sait pas comment spring injecte ça).

PS: laisse nous juger de l'importance des codes et méthodes qu'on te demande si tu veux qu'on t'aide.

A noter aussi que pour le @SessionScoped, je ne suis pas sur que ta version de Spring reconnaisse cette annotation J2EE. JE ne suis même pas sur qu'il le reconnaisse en général, il a son propre set d'annotation pour gérer les scopes.

**bruneltouopi** · 10/08/2015, 20h53

Voici le probleme similaire http://stackoverflow.com/questions/1...-between-users
Code complementaire
Classe Abstraite pour DAO

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
 
// CLASSE ABSTRAITE PERMETTANT DE MANIPULER L INTERFACE DAO
@Transactional(readOnly = true)
public abstract class AbstractJpaDAO<T extends DAOEntry> implements DAO<T> {
 
    private static final long serialVersionUID = 1L;
    /**
     * @return The type of the class of the entity to work with.
     */
    protected abstract Class<T> getEntityClass();
 
    protected abstract EntityManager getEntityManager();
 
//    protected EntityManager getEntityManager() {
//        return em;
//    }
    protected AbstractJpaDAO() {
    }
 
 
 
 
    /**
     * Retrieves the specified entity/object using the specified
     * {@link NamedQuery} having the specified name.
     *
     * @param queryName - The name of the {@link NamedQuery} to use.
     * @param parameters - The list of parameters to passe to the
     * {@link NamedQuery}.
     * @return The entity/object or <tt>null</tt> if not found.
     */
    @SuppressWarnings("unchecked")
    public T findEntityByUsingQueryName(String queryName, Map<String, Object> parameters) {
        Query q = this.getEntityManager().createNamedQuery(queryName);
        if (parameters != null) {
            Iterator<Entry<String, Object>> iter = parameters.entrySet().iterator();
            while (iter.hasNext()) {
                Entry<String, Object> o = iter.next();
                q.setParameter(o.getKey(), o.getValue());
            }
        }
        T result = null;
        try {
            result = (T) q.getSingleResult();
        } catch (NoResultException nre) {
            // Pas de rÃ©sultat trouvÃ© !
        }
        return result;
    }
 
    @SuppressWarnings("unchecked")
    public T findEntityByUsingQuery(String queryName, Map<String, Object> parameters) {
        Query q = this.getEntityManager().createQuery(queryName);
        if (parameters != null) {
            Iterator<Entry<String, Object>> iter = parameters.entrySet().iterator();
            while (iter.hasNext()) {
                Entry<String, Object> o = iter.next();
                q.setParameter(o.getKey(), o.getValue());
            }
        }
        T result = null;
        try {
            result = (T) q.getSingleResult();
        } catch (NoResultException nre) {
            // Pas de rÃ©sultat trouvÃ© !
        }
        return result;
    }

Classe PersonneDao pour user

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
@Repository @Transactional(readOnly = true)
public class PersonneDao extends AbstractJpaDAO<Personne> implements IPersonneDao {
 
    private static final long serialVersionUID = 1L;
    @PersistenceContext
    private EntityManager em;
 
    @Override
    protected EntityManager getEntityManager() {
        return em;
    }
 
    @Override
    protected Class<Personne> getEntityClass() {
        return Personne.class;
    }
 
 
}

Classe Securite

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
 
 
@Service
@Transactional(readOnly=true)
public class Securite implements ISecurite {
 
 
    @Inject
    IPersonneDao userDao;
 @Inject
    private IMenuDao menuDao;
 
 
     /**
      * verification si l utilisateur qui est entrain de se connecter existe
      */
	   @Override
     public Personne getAuthentification(String login,String pwd) {
 
        String pwdCript=Crypto.sha256(pwd);
        String jpql = "SELECT us FROM Personne us WHERE us.matricule = :mat and us.pwd = :Pwd";
        Map<String, Object> param = new HashMap<>();
        param.put("mat", login);
        param.put("Pwd", pwdCript);
        Personne user = userDao.findEntityByUsingQuery(jpql, param);
        return user;    
    }
 
 @Override
    public Collection<Menu> getMenusForUser(Personne u) {
     // les menus qui sont attribuer directement au role
         Collection<Menu> listUserMenuRole=new ArrayList<Menu>();
        if(u!=null){
        String jpql = "SELECT m FROM Menu m join m.rolemenuCollection r WHERE r.rolemenuPK.roleId = :roleId";
        Map<String, Object> param = new HashMap<String, Object>();
        param.put("roleId", u.getRole().getId());
       listUserMenuRole = menuDao.findAllEntitiesByUsingQuery(jpql, param);
 
        // les menus qui sont dans la table user menu et attribuer a l utilisateur
        param.clear();
        jpql = "SELECT m FROM Menu m join m.usermenuCollection u WHERE"
                + " u.usermenuPK.userId = :userId and (u.autorisation=true or u.autorisation=1)";
        param.put("userId", u.getId());
        // on aurait pu utiliser :  listUserMenuRole.addAll(menuDao.findAllEntitiesByUsingQuery(jpql,param));       
        for (Menu mu : menuDao.findAllEntitiesByUsingQuery(jpql, param)) {
            if (listUserMenuRole.contains(mu) == false) {
                listUserMenuRole.add(mu);
            }
        }
 
        // les menus qui sont dans la table user non attribuer a l utilisateur
        param.clear();
        jpql = "SELECT m FROM Menu m join m.usermenuCollection u WHERE"
                + " u.usermenuPK.userId = :userId and (u.autorisation=false or u.autorisation=0)";
        param.put("userId", u.getId());
        // on aurait pu utiliser : listUserMenuRole.removeAll(menuDao.findAllEntitiesByUsingQuery(jpql,param));
        for (Menu mu : menuDao.findAllEntitiesByUsingQuery(jpql, param)) {
            if (listUserMenuRole.contains(mu) == true) {
                listUserMenuRole.remove(mu);
            }
        }
        }
        return listUserMenuRole;
    }
 
 
 
}

//code Controller

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
 @Component
@ManagedBean(name = "connectionController")
//@Scope("session")
@SessionScoped
public class ConnectionController implements Serializable {
 
    private static final Logger logger = LoggerFactory.getLogger(ConnectionController.class);
    String summary = "";
    String msgdetail = "";
    @Autowired
    private ISecurite securiteUser;
    @Autowired
    private IPersonneDao userDao;
    @Autowired
    private IEtablissementsDao etablissementsDao;
    @Autowired
    private ILicence licenceDao;
 
    private Personne user = new Personne();
    private Etablissements etablissements;
    private boolean isLoggedIn = false;
    private String currenPage;
    private int testLicence = -1;
    private int boucle = 0;
    private boolean pwdEdit;
    private String localeCode = "en";
    private MenuModel module;
    private Map<String, Object> countries = new HashMap<>();
 
    private Modulesecurite modulesecurite;
    private String theme;
    private String login;
    private String password;
 
    //permet d'eviter l'expiration illegal d'une session
    @PostConstruct
    void initialiseSession() {
        FacesContext.getCurrentInstance().getExternalContext().getSession(true);
        user = new Personne();
 
        etablissements = new Etablissements();
        modulesecurite = new Modulesecurite();
        module = new DefaultMenuModel();
        countries = new HashMap<>();
        boucle = 0;
        login = "";
 
    }
 
    public ConnectionController() {
 
    }
 
 
    public int verifyContrainstBeforeToOpenPage() {
        //recupere le chemin de l'application
        ExternalContext etx = FacesContext.getCurrentInstance().getExternalContext();
        String chemin = etx.getRequestContextPath();
 
        //traval de la licence
        Licence licence = licenceDao.getLicence();
        if (licence == null) {
 
            FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.LICENCE_STATUT, ILicence.LICENCE_NOT_EXIST);
 
            //doRedirect(chemin + "/licence.xhtml");
            return GlobalFonctions.GO_TO_LICENCE;
 
        } else {
            testLicence = licenceDao.validateLicence(licence);
            //licence expirer
            FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.LICENCE_STATUT, testLicence);
 
            if (testLicence != ILicence.LICENCE_GOOD) {
                //  doRedirect(chemin + "/licence.xhtml");
                return GlobalFonctions.GO_TO_LICENCE;
 
            }
 
        }
        if (((int) FacesContext.getCurrentInstance().getExternalContext().getSessionMap().get(GlobalFonctions.LICENCE_STATUT) == ILicence.LICENCE_GOOD) && licence != null) {
            logger.info("boucle == {}", boucle);
            if (boucle == 0) {
 
                boucle++;
                Collection<Etablissements> colEtab = etablissementsDao.findAll();
                if ((colEtab == null || colEtab.isEmpty())) {
                    if (isLoggedIn == true) {
                        //Recuperation des parametres de la session pour s assurer que c est la config
                        FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_CONFIG, 1);
                        return GlobalFonctions.GO_TO_CONFIG;
                    } else {
                        FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_CONFIG, 0);
                        return GlobalFonctions.GO_TO_CONNECT;
                    }
                } else if (etablissements != null && isLoggedIn == true) {
 
                    //on est loge
                    Personne u = (Personne) FacesContext.getCurrentInstance().getExternalContext().getSessionMap().get(GlobalFonctions.SESSION_USER);
                    securiteUser.insertUserInLogger(u);
                    logger.info("User Connecter {}", u.getMatricule());
                    FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_CONFIG, 2);
 
                    return GlobalFonctions.GO_TO_PAGE;
                } else {
                    FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_CONFIG, 0);
                    return GlobalFonctions.GO_TO_CONNECT;
 
                }
            }
 
        }
 
        return GlobalFonctions.GO_TO_PAGE;
 
    }
 
 
    // Programme de deconnexion   
    public String deconnexion() {
        //variable pour la redirection
        String navigateTo = "client.deconnect";
        FacesContext fc = FacesContext.getCurrentInstance();
        ExternalContext ext = fc.getExternalContext();
        //on nettoie les variables sessions
        ext.getSessionMap().clear();
        ext.getRequestMap().remove("page");
 
        //reinitialise la session 
        ext.getSession(false);
        ext.invalidateSession();
 
        this.isLoggedIn = false;
//        user=new Personne();
        login = "";
        this.boucle = 0;
        return navigateTo;
    }
 
    private void doRedirect(String url) {
        try {
            FacesContext context = FacesContext.getCurrentInstance();
            context.getExternalContext().redirect(url);
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
 
    public String login() {
        //default url in case of login failure;  
        String url = "connection.xhtml";
        FacesContext ctx = FacesContext.getCurrentInstance();
        //get default locale
        Locale myLoc = ctx.getViewRoot().getLocale();
        //Locale myLoc =new Locale("fr");
        try {
            //Existance de l'utilisateur 
            Personne u = securiteUser.getAuthentification(login, password);
            if (u != null && u.getMatricule().equals(login)) {
                if (u.isCompteActif() == false) {
                    summary = LocaleHelper.getLocaleString(RecupBundle.FichierBundle, "lockCompte", null, myLoc);
                    ctx.addMessage(null, new FacesMessage(FacesMessage.SEVERITY_ERROR, summary, null));
 
                } else {
 
                    Licence licence = licenceDao.getLicence();
                    //je verifies les dates si on a la version demo
                    if (licence == null || licence.getLicenseType().equals(LicenseType.DEMO)) {
                        securiteUser.checkDateConnexionWithLastConnexion(new Date());
                    }
                    //Recuperation des parametres de la session pour l utilisateur courant
                    ctx.getExternalContext().getSessionMap().clear();
                    ctx.getExternalContext().getSessionMap().put(GlobalFonctions.SESSION_USER, u);
                    //creation des variables @ApplicationScoped
                    ctx.getExternalContext().getApplicationMap().put(GlobalFonctions.ETAB_ACTIF, etablissements);
 
                    Collection<Menu> menusUser = securiteUser.getMenusForUser(u);
                    Map<String, String> mesChemin = new HashMap<>();
                    for (Menu menu : menusUser) {
                        mesChemin.put(menu.getChemin(), menu.getCode());
                    }
 
                    ctx.getExternalContext().getSessionMap().put(GlobalFonctions.MENUS_USER, mesChemin);
                    FacesContext.getCurrentInstance().getViewRoot().setLocale(new Locale(localeCode));
                    FacesContext.getCurrentInstance().getExternalContext().getSessionMap().put("locale", new Locale(localeCode));
 
                    isLoggedIn = true;
                    url = "principal.xhtml";
                    this.verifyContrainstBeforeToOpenPage();
                    boucle = 0;
                    this.chargeModule();
                    doRedirect(url);
                }
            } else {
                summary = LocaleHelper.getLocaleString(RecupBundle.FichierBundle, "echec.connexion", null, myLoc);
                ctx.addMessage(null, new FacesMessage(FacesMessage.SEVERITY_ERROR, summary, null));
            }
        } catch (LicenceException th) {
            ctx.addMessage(null, new FacesMessage(FacesMessage.SEVERITY_ERROR, th.getCode(), null));
 
        }
 
        return null;
    }
 
 
 
    void chargeModule() {
 
        ExternalContext externalContext = FacesContext.getCurrentInstance().getExternalContext();
        ServletContext servletContext = (ServletContext) externalContext.getContext();
        WebApplicationContextUtils.getRequiredWebApplicationContext(servletContext).
                getAutowireCapableBeanFactory().
                autowireBean(this);
        // module = new DefaultMenuModel();
        FacesContext facesContext = FacesContext.getCurrentInstance();//contexte courant
        facesContext.getExternalContext().getSession(true); //empeche la session de s'expirer
        Locale myLoc = (Locale) FacesContext.getCurrentInstance().getExternalContext().getSessionMap().get("locale");
        if (myLoc == null) {
            myLoc = facesContext.getViewRoot().getLocale();//la locale du systeme   
        }
        Integer licenceValue = (Integer) FacesContext.getCurrentInstance().getExternalContext().getSessionMap().get(GlobalFonctions.LICENCE_STATUT);
 
        if (licenceValue != null && licenceValue == ILicence.LICENCE_GOOD) {
 
            //recuperation de l'etat de l'application en configuration ou non
            Integer conf = (Integer) facesContext.getExternalContext().getSessionMap().get(GlobalFonctions.SESSION_CONFIG);
 
            // Ici on vide le menubar des modules
            module.getElements().clear();
 
            DefaultSubMenu moduleSubmenu;
 
            Personne user = (Personne) facesContext.getExternalContext().getSessionMap().get(GlobalFonctions.SESSION_USER);
            if (user != null) {
                Collection<Modulesecurite> colModSecu = new ArrayList<>();
 
                colModSecu = securiteUser.getModuleByUser(user);
                if (colModSecu != null && !colModSecu.isEmpty()) {
                    //recuperation de tous les modules attribuer a l utilisateur courant
                    for (Modulesecurite mod : colModSecu) {
                        moduleSubmenu = new DefaultSubMenu();
                        //moduleItem= new MenuItem();
                        String ValMod = LocaleHelper.getLocaleString(RecupBundle.FichierBundle, mod.getCode(), null, myLoc);
                        //Si la traduction n existe pas dans le fichier poperty on prend la description du module 
                        if (ValMod == null) {
                            ValMod = "";
                        }
                        if (ValMod.compareToIgnoreCase("ERROR MESSAGE!") == 0 || ValMod.trim().isEmpty()) {
                            ValMod = mod.getDescription();//Si la desciption est vide alors on charge le code
                            if (ValMod == null) {
                                ValMod = "";
                            }
 
                            if (ValMod.trim().isEmpty()) {
                                ValMod = mod.getCode();
                            }
                        }
 
                        modulesecurite = new Modulesecurite();
                        modulesecurite.setId(mod.getId());
                        modulesecurite = securiteUser.getModule(modulesecurite);
 
                        // Chargement des menus du module concerner
                        Collection<Menu> colMenu = new ArrayList<>();
                        colMenu = securiteUser.getMenusbyModuleForUser(user, modulesecurite);
                        if (colMenu != null && !colMenu.isEmpty()) {
 
                            for (Menu menu : colMenu) {
 
                                if (menu.getEtat() != null && menu.getEtat() == true) {
                                    continue;
                                }
                                DefaultMenuItem menuItem = new DefaultMenuItem();
 
                                String ValMenu = LocaleHelper.getLocaleString(RecupBundle.FichierBundle, menu.getCode(), null, myLoc);
 
                                if (ValMenu == null) {
                                    ValMenu = "";
                                }
                                if (ValMenu.compareToIgnoreCase("ERROR MESSAGE!") == 0 || ValMenu.trim().isEmpty()) {
                                    ValMenu = menu.getDescription();
                                    if (ValMenu == null) {
                                        ValMenu = "";
                                    }
                                    if (ValMenu.trim().isEmpty()) {
                                        ValMenu = menu.getCode();
                                    }
                                }
                                if (ValMenu == null || ValMenu.equals("")) {
                                    ValMenu = "undefined";
                                }
 
                                String chemin = menu.getChemin();
 
                                if (chemin.endsWith(".xhtml") == false) {
                                    chemin += ".xhtml";
                                }
                                menuItem.setValue(ValMenu);
                                menuItem.setUrl(chemin);
                                menuItem.setAjax(true);
                                moduleSubmenu.addElement(menuItem);
                            }
                        }
                        if (ValMod == null || ValMod.equals("")) {
                            ValMod = "undefined";
                        }
 
                        moduleSubmenu.setLabel(ValMod);
                        String IdModule = "mod" + mod.getId().toString();
                        moduleSubmenu.setId(IdModule);
 
                        moduleSubmenu.setIcon("ui-icon-arrow-1-e");
                        module.addElement(moduleSubmenu);
 
                    }
                }
            }
        }
 
    }
 
}

**bruneltouopi** · 17/08/2015, 15h23

J'ai finalement résolu mon problème en :
1-Supprimant mon Listener pour la sécurité
2-Ajoutant l'event

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
<f:metadata> 
          <f:event type="preRenderView" listener="#{connectionController.verifyContrainstBeforeToOpenPage()}"/>
    </f:metadata>

Dans mon Template
3-En Utilisant @Scope("session")

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
@Component
@ManagedBean(name = "connectionController")
@Scope("session")
//@SessionScoped
public class ConnectionController implements Serializable

Cela fonctionne

Problème critique de sécurité avec les Sessions en couple JSF+Spring

Spring Java

Discussions similaires

Partager

Partager