当我的网络会话过期时，如何从服务器注销站点挖掘器 SSO 会话

Question

我们的网络会话需要在 2 小时内超时，而站点管理员 SSO 会话超时大约是 4 小时。无论如何要从我的 web 应用程序向 siteminder 发送请求以注销我的 SSO 会话超时。我尝试的是在用户登录时捕获我的 webapp 会话中的所有 siteminder 参数（基本上任何以 SM_ 开头的东西）。然后在 HttpSessionListener.sessionDestroyed() 方法中，在添加来自会话的所有站点管理器标头后，我向我们的站点管理器 logoff.html url 发送一个请求。这种方法似乎没有发生任何事情 - 下次我访问网页时，会创建一个新的网络会话，并且 siteminder 认为我没有注销。

有什么想法吗？

这是我的代码：

public void sessionDestroyed(HttpSessionEvent sessionEvent)
{
    Map<String, String> siteminderHeaders = (Map<String, String>)sessionEvent.getSession().getAttribute("SM_HEADERS");

    if (siteminderHeaders != null){
        RequestCallback requestCallback = new SiteminderLogoutRequestCallback(siteminderHeaders);

        restTemplate.execute("https://mysiteminderhost/siteminderagent/ssologout/Logout.html", HttpMethod.GET, requestCallback, null);
    }
}

Answer 1

因此，如果我理解正确，则用户正在登录 SiteMinder（从而接收 SMSESSION cookie），然后访问受 SM Web Agent 实例保护的应用程序（因为您可以读取 WA 设置的 SM_HEADERS），而您希望在您的应用程序达到其超时（2 小时）而 SM 超时为 4 小时时注销用户？

既然 SM 会话信息存储在 SMSESSION cookie 中，为什么不让您的代码手动将 SMSESSION cookie 值（set-cookie）设置为“LOGGEDOFF”？或者，如果您只是将浏览器重定向到特定于 SM 的 logout.fcc 页面，则 SM 将处理其余的 IIRC。