Programowe wykorzystanie Spring Security

Używam Wicket z projektem Wicket Auth dla mojej warstwy prezentacji i dlatego zintegrowałem go z Spring Security. Jest to metoda, która jest wywoływana przez Wicket do uwierzytelniania dla mnie:

@Override
public boolean authenticate(String username, String password) {
    try {
        Authentication request = new UsernamePasswordAuthenticationToken(
                username, password);
        Authentication result = authenticationManager.authenticate(request);
        SecurityContextHolder.getContext().setAuthentication(result);
    } catch (AuthenticationException e) {
        return false;
    }
    return true;
}

Zawartość (wewnątrz ) mojej konfiguracji Spring Security XML to:

<http path-type="regex">
    <form-login login-page="/signin"/>
<logout logout-url="/logout" />
</http>
<global-method-security secured-annotations="enabled" />
<authentication-manager alias="authenticationManager"/>
<authentication-provider user-service-ref="userService">
    <password-encoder ref="bcryptpasswordencoder" />
</authentication-provider>

Sekcja 2.3.6. Ochrona przed atakiem utrwalania sesji z dokumentacji referencyjnej mówi:

Ataki fiksacji sesji są potencjalnym ryzykiem, gdy jest to możliwe aby złośliwy atakujący stworzył sesji poprzez dostęp do witryny, a następnie przekonaj innego użytkownika do zalogowania się z tej samej sesji (wysyłając im link zawierający identyfikator sesji jako parametr, na przykład). Wiosna Bezpieczeństwo chroni przed tym automatycznie tworząc nowy sesji po zalogowaniu się użytkownika. Jeśli nie wymagają tej ochrony, lub to konflikt z innym wymogiem, możesz kontrolować zachowanie za pomocą na sesja-utrwalenie-Ochrona atrybut na, który ma trzy opcje:

• migrateSession-tworzy nową sesję i kopiuje istniejącą atrybuty sesji do nowej sesji. Jest to wartość domyślna.
• brak-nic nie rób. Oryginalna sesja zostanie zachowana.
• newSession-Utwórz nową" czystą " sesję, bez kopiowania istniejące dane sesji.

Uwierzytelnianie działa, ale jestem dość nowy na wiosnę Bezpieczeństwo mam kilka pytań, na które też potrzebuję odpowiedzi:

• normalnie dla logowania, dodałbym informacje uwierzytelniające do j_spring_security_check i pozwoliłbym Spring Security wykonać rzeczywisty kod uwierzytelniający. Chciałbym mieć ochronę przed atakami fiksacji sesji, czy otrzymam ją podczas wykonywania logowania programowego tak jak to robię? A jeśli nie, to co muszę zrobić, żeby go zdobyć?
• Jak wykonać programowe wylogowanie?
• ponieważ użyję logowania programowego i wylogowania, jak wyłączyć Spring z przechwytywania tych adresów URL?

Aktualizacja: Dla ochrony przed atakiem utrwalania sesji wydaje się, że muszę wywołać metodę w klasie SessionUtils z podpisem startNewSessionIfRequired(HttpServletRequest request, boolean migrateAttributes, SessionRegistry sessionRegistry).

Jak uzyskać instancję SessionRegistry, którą muszę przekazać? Nie mogę znaleźć sposobu, aby utworzyć dla niego alias ID lub jak uzyskać jego identyfikator lub nazwę.