Falha de Segurança | Autenticação Java Web

Ao deslogar, como vc está retornando para a página de login? Com um forward ou com um redirect?

Ao deslogar, altere o response assim:

response.setHeader("Cache-Control","no-cache"); 
response.setHeader("Cache-Control","no-store"); 
response.setDateHeader("Expires", 0);

e faça um redirect (sendRedirect) para a página de login.

Eu faço assim:
Ao clicar em sair eu passo pela Servlet que verifica qual é a ação.

A ação é Logout, então eu chamo o método executa() que envia um resp.sendRedirect("reserva?action=LoginForm");

Esse redirect chama a ação LoginForm que por sua vez executa um forward para a página login.jsp.

Coloquei o código que me passou, lá minha ação Logout onde eu invalido a sessão.

To achando que vou precisar tirar o login.jsp de dentro da WEB-INF para poder usar o sendRedirect(“login.jsp”) direto para login.jsp sem chamar nenhuma outra ação que use forward.

No trecho de código onde vc está invalidando a sessão, vc pode chamar o sendRedirect do response:

HttpServletResponse.sendRedirect(String)

Desculpa incomodar com isso novamente.

Eu tirei o login.jsp de dentro do WEB-INF e agora consegui usar o resp.sendRedirect("login.jsp")

Fiz como sugerido, coloquei no bloco de código do Logout:

session.invalidate();

resp.setHeader(“Cache-Control”,“no-cache”);

resp.setHeader(“Cache-Control”,“no-store”);

resp.setDateHeader(“Expires”, 0);

resp.sendRedrect(“login.jsp”);

Ele redireciona para a login.jsp mas permaneceu problema de voltar para dentro do sistema.

Testei utilizando o Jetty ao invés do Tomcat, e o problema permaneceu.
Então é algo que preciso resolver no código mesmo.

Lucas,

Funcionou com esse código. Porém, em outra parte do sistema.
Coloquei na parte onde eu dou forward para as páginas dentro do sistema.
Não faço ideia do porquê rs

Mas resolveu!

Coloquei meu código no GitHub se alguém quiser dar uma olhada.
Essa parte ficou na classe ControllerFilter