again.. save THEN commit
[java-idp.git] / src / edu / internet2 / middleware / shibboleth / idp / authn / AuthenticationEngine.java
index b7599ef..4b7955b 100644 (file)
@@ -17,6 +17,7 @@
 package edu.internet2.middleware.shibboleth.idp.authn;
 
 import java.io.IOException;
+import java.util.ArrayList;
 import java.util.Collection;
 import java.util.HashMap;
 import java.util.Iterator;
@@ -25,6 +26,7 @@ import java.util.Map.Entry;
 
 import javax.security.auth.Subject;
 import javax.servlet.RequestDispatcher;
+import javax.servlet.ServletConfig;
 import javax.servlet.ServletException;
 import javax.servlet.http.Cookie;
 import javax.servlet.http.HttpServlet;
@@ -60,23 +62,28 @@ public class AuthenticationEngine extends HttpServlet {
     /** Class logger. */
     private static final Logger LOG = LoggerFactory.getLogger(AuthenticationEngine.class);
 
-    /**
-     * Gets the manager used to retrieve handlers for requests.
-     * 
-     * @return manager used to retrieve handlers for requests
-     */
-    public IdPProfileHandlerManager getProfileHandlerManager() {
-        return (IdPProfileHandlerManager) getServletContext().getAttribute("handlerManager");
-    }
+    /** Profile handler manager. */
+    private IdPProfileHandlerManager handlerManager;
 
-    /**
-     * Gets the session manager to be used.
-     * 
-     * @return session manager to be used
-     */
-    @SuppressWarnings("unchecked")
-    public SessionManager<Session> getSessionManager() {
-        return (SessionManager<Session>) getServletContext().getAttribute("sessionManager");
+    /** Session manager. */
+    private SessionManager<Session> sessionManager;
+
+    /** {@inheritDoc} */
+    public void init(ServletConfig config) throws ServletException {
+        super.init(config);
+
+        String handlerManagerId = config.getInitParameter("handlerManagerId");
+        if (DatatypeHelper.isEmpty(handlerManagerId)) {
+            handlerManagerId = "shibboleth.HandlerManager";
+        }
+        handlerManager = (IdPProfileHandlerManager) getServletContext().getAttribute(handlerManagerId);
+
+        String sessionManagerId = config.getInitParameter("sessionManagedId");
+        if (DatatypeHelper.isEmpty(handlerManagerId)) {
+            sessionManagerId = "shibboleth.SessionManager";
+        }
+
+        sessionManager = (SessionManager<Session>) getServletContext().getAttribute(sessionManagerId);
     }
 
     /**
@@ -91,8 +98,10 @@ public class AuthenticationEngine extends HttpServlet {
         LoginContext loginContext = (LoginContext) httpSession.getAttribute(LoginContext.LOGIN_CONTEXT_KEY);
         if (loginContext == null) {
             LOG.error("User HttpSession did not contain a login context.  Unable to return to authentication engine");
+            forwardRequest("/idp-error.jsp", httpRequest, httpResponse);
+        } else {
+            forwardRequest(loginContext.getAuthenticationEngineURL(), httpRequest, httpResponse);
         }
-        forwardRequest(loginContext.getAuthenticationEngineURL(), httpRequest, httpResponse);
     }
 
     /**
@@ -105,6 +114,8 @@ public class AuthenticationEngine extends HttpServlet {
     public static void returnToProfileHandler(LoginContext loginContext, HttpServletRequest httpRequest,
             HttpServletResponse httpResponse) {
         LOG.debug("Returning control to profile handler at: {}", loginContext.getProfileHandlerURL());
+        httpRequest.getSession().removeAttribute(LoginContext.LOGIN_CONTEXT_KEY);
+        httpRequest.setAttribute(LoginContext.LOGIN_CONTEXT_KEY, loginContext);
         forwardRequest(loginContext.getProfileHandlerURL(), httpRequest, httpResponse);
     }
 
@@ -138,8 +149,14 @@ public class AuthenticationEngine extends HttpServlet {
             LOG.error("HTTP Response already committed");
         }
 
-        HttpSession httpSession = httpRequest.getSession();
-        LoginContext loginContext = (LoginContext) httpSession.getAttribute(LoginContext.LOGIN_CONTEXT_KEY);
+        LoginContext loginContext = (LoginContext) httpRequest.getAttribute(LoginContext.LOGIN_CONTEXT_KEY);
+        if (loginContext == null) {
+            // When the login context comes from the profile handlers its attached to the request
+            // The authn engine attaches it to the session to allow the handlers to do any number of
+            // request/response pairs without maintaining or losing the login context
+            loginContext = (LoginContext) httpRequest.getSession().getAttribute(LoginContext.LOGIN_CONTEXT_KEY);
+        }
+
         if (loginContext == null) {
             LOG.error("Incoming request does not have attached login context");
             throw new ServletException("Incoming request does not have attached login context");
@@ -166,23 +183,26 @@ public class AuthenticationEngine extends HttpServlet {
         LOG.debug("Beginning user authentication process");
         try {
             Map<String, LoginHandler> possibleLoginHandlers = determinePossibleLoginHandlers(loginContext);
+            ArrayList<AuthenticationMethodInformation> activeAuthnMethods = new ArrayList<AuthenticationMethodInformation>();
+
             Session userSession = (Session) httpRequest.getAttribute(Session.HTTP_SESSION_BINDING_ATTRIBUTE);
-            Collection<AuthenticationMethodInformation> activeAuthnMethods = userSession.getAuthenticationMethods()
-                    .values();
+            if (userSession != null) {
+                activeAuthnMethods.addAll(userSession.getAuthenticationMethods().values());
+            }
 
             if (loginContext.isForceAuthRequired()) {
                 LOG.debug("Forced authentication is required, filtering possible login handlers accordingly");
                 filterByForceAuthentication(loginContext, activeAuthnMethods, possibleLoginHandlers);
             } else {
-                if (activeAuthnMethods != null) {
-                    LOG.debug("Forced authentication not required, using existing authentication method");
-                    for (AuthenticationMethodInformation activeAuthnMethod : activeAuthnMethods) {
-                        if (possibleLoginHandlers.containsKey(activeAuthnMethod.getAuthenticationMethod())) {
-                            completeAuthenticationWithActiveMethod(activeAuthnMethod, httpRequest, httpResponse);
-                            return;
-                        }
+                LOG.debug("Forced authentication not required, trying existing authentication methods");
+                for (AuthenticationMethodInformation activeAuthnMethod : activeAuthnMethods) {
+                    if (possibleLoginHandlers.containsKey(activeAuthnMethod.getAuthenticationMethod())) {
+                        completeAuthenticationWithActiveMethod(loginContext, activeAuthnMethod, httpRequest,
+                                httpResponse);
+                        return;
                     }
                 }
+                LOG.debug("No existing authentication method meets service provides requirements");
             }
 
             if (loginContext.isPassiveAuthRequired()) {
@@ -214,7 +234,7 @@ public class AuthenticationEngine extends HttpServlet {
      */
     protected Map<String, LoginHandler> determinePossibleLoginHandlers(LoginContext loginContext)
             throws AuthenticationException {
-        Map<String, LoginHandler> supportedLoginHandlers = new HashMap<String, LoginHandler>(getProfileHandlerManager()
+        Map<String, LoginHandler> supportedLoginHandlers = new HashMap<String, LoginHandler>(handlerManager
                 .getLoginHandlers());
         LOG.trace("Supported login handlers: {}", supportedLoginHandlers);
         LOG.trace("Requested authentication methods: {}", loginContext.getRequestedAuthenticationMethods());
@@ -245,7 +265,7 @@ public class AuthenticationEngine extends HttpServlet {
      * handlers that have been and support force re-authentication may be used. Filter out any of the other ones.
      * 
      * @param loginContext current login context
-     * @param activeAuthnMethods currently active authentication methods
+     * @param activeAuthnMethods currently active authentication methods, never null
      * @param loginHandlers login handlers to filter
      * 
      * @throws ForceAuthenticationException thrown if no handlers remain after filtering
@@ -255,14 +275,11 @@ public class AuthenticationEngine extends HttpServlet {
             throws ForceAuthenticationException {
 
         LoginHandler loginHandler;
-
-        if (activeAuthnMethods != null) {
-            for (AuthenticationMethodInformation activeAuthnMethod : activeAuthnMethods) {
-                loginHandler = loginHandlers.get(activeAuthnMethod.getAuthenticationMethod());
-                if (loginHandler != null && !loginHandler.supportsForceAuthentication()) {
-                    for (String handlerSupportedMethods : loginHandler.getSupportedAuthenticationMethods()) {
-                        loginHandlers.remove(handlerSupportedMethods);
-                    }
+        for (AuthenticationMethodInformation activeAuthnMethod : activeAuthnMethods) {
+            loginHandler = loginHandlers.get(activeAuthnMethod.getAuthenticationMethod());
+            if (loginHandler != null && !loginHandler.supportsForceAuthentication()) {
+                for (String handlerSupportedMethods : loginHandler.getSupportedAuthenticationMethods()) {
+                    loginHandlers.remove(handlerSupportedMethods);
                 }
             }
         }
@@ -315,24 +332,23 @@ public class AuthenticationEngine extends HttpServlet {
         loginContext.setAuthenticationDuration(logingHandler.getAuthenticationDuration());
         loginContext.setAuthenticationMethod(authnMethod);
         loginContext.setAuthenticationEngineURL(HttpHelper.getRequestUriWithoutContext(httpRequest));
+        httpRequest.getSession().setAttribute(LoginContext.LOGIN_CONTEXT_KEY, loginContext);
         logingHandler.login(httpRequest, httpResponse);
     }
 
     /**
      * Completes the authentication request using an existing, active, authentication method for the current user.
      * 
+     * @param loginContext current login context
      * @param authenticationMethod authentication method to use to complete the request
      * @param httpRequest current HTTP request
      * @param httpResponse current HTTP response
      */
-    protected void completeAuthenticationWithActiveMethod(AuthenticationMethodInformation authenticationMethod,
-            HttpServletRequest httpRequest, HttpServletResponse httpResponse) {
-        HttpSession httpSession = httpRequest.getSession();
-
+    protected void completeAuthenticationWithActiveMethod(LoginContext loginContext,
+            AuthenticationMethodInformation authenticationMethod, HttpServletRequest httpRequest,
+            HttpServletResponse httpResponse) {
         Session shibSession = (Session) httpRequest.getAttribute(Session.HTTP_SESSION_BINDING_ATTRIBUTE);
 
-        LOG.debug("Populating login context with existing session and authentication method information.");
-        LoginContext loginContext = (LoginContext) httpSession.getAttribute(LoginContext.LOGIN_CONTEXT_KEY);
         loginContext.setAuthenticationDuration(authenticationMethod.getAuthenticationDuration());
         loginContext.setAuthenticationInstant(authenticationMethod.getAuthenticationInstant());
         loginContext.setAuthenticationMethod(authenticationMethod.getAuthenticationMethod());
@@ -343,6 +359,8 @@ public class AuthenticationEngine extends HttpServlet {
                 authenticationMethod);
         shibSession.getServicesInformation().put(serviceInfo.getEntityID(), serviceInfo);
 
+        LOG.debug("Treating user {} as authenticated via existing method {}", loginContext.getPrincipalName(),
+                loginContext.getAuthenticationMethod());
         returnToProfileHandler(loginContext, httpRequest, httpResponse);
     }
 
@@ -384,11 +402,9 @@ public class AuthenticationEngine extends HttpServlet {
             loginContext.setAuthenticationMethod(actualAuthnMethod);
         }
 
-        updateUserSession(loginContext, httpRequest, httpResponse);
-
-        LOG.debug("User {} authentication with authentication method {}", loginContext.getPrincipalName(), loginContext
+        LOG.debug("User {} authenticated with method {}", loginContext.getPrincipalName(), loginContext
                 .getAuthenticationMethod());
-
+        updateUserSession(loginContext, httpRequest, httpResponse);
         returnToProfileHandler(loginContext, httpRequest, httpResponse);
     }
 
@@ -405,7 +421,7 @@ public class AuthenticationEngine extends HttpServlet {
         Session shibSession = (Session) httpRequest.getAttribute(Session.HTTP_SESSION_BINDING_ATTRIBUTE);
         if (shibSession == null) {
             LOG.debug("Creating shibboleth session for principal {}", loginContext.getPrincipalName());
-            shibSession = (Session) getSessionManager().createSession(loginContext.getPrincipalName());
+            shibSession = (Session) sessionManager.createSession(loginContext.getPrincipalName());
             loginContext.setSessionID(shibSession.getSessionID());
             addSessionCookie(httpRequest, httpResponse, shibSession);
         }
@@ -443,9 +459,7 @@ public class AuthenticationEngine extends HttpServlet {
         Cookie sessionCookie = new Cookie(IDP_SESSION_COOKIE_NAME, userSession.getSessionID());
         sessionCookie.setPath(httpRequest.getContextPath());
         sessionCookie.setSecure(false);
-
-        int maxAge = (int) (userSession.getInactivityTimeout() / 1000);
-        sessionCookie.setMaxAge(maxAge);
+        sessionCookie.setMaxAge(-1);
 
         httpResponse.addCookie(sessionCookie);
     }