セキュリティ制約(security-constraint)上の画面遷移について

Question

###前提・実現したいこと
お世話になっております。

WildFly上で稼働するWebシステムを開発しているのですが、
ログイン後の画面遷移に不具合があり、原因がわからず困っております。

###発生している問題

ログイン時の処理を行うマネージドビーンクラスで
次の画面へリダイレクトする処理を書いており、実際その通りに画面遷移するのですが、
遷移したその画面からさらに他の画面へ遷移しようとすると（画面上のリンクのクリック）、
ログイン画面に戻されてしまいます。
（ただしブラウザのURL欄は遷移しようとした画面のURLを示しているのが謎。。）

ログイン画面以外の画面はすべて、web.xmlのsecurity-constraintに定義しているURLパターンに合致しています。

###試したこと
ログイン認証のしくみはデータベース(PostgreSQL)を利用しており、
認証の機構自体は意図したとおりに動作していると思われます。
web.xmlのauth-constraintに定義されているロールのユーザでログインできますし、
定義されていないロールのユーザでログインしようとすると、503エラーで弾かれるので。

GlassFishでも試しましたが、全く同じ事象が発生しているので、
WildFlyに原因があるのではなく、基本的な設定を見落としているのかもしれません。

原因をご存じの方がいらっしゃいましたら
お知恵をお貸しいただけますでしょうか。

以上よろしくお願いいたします。

###補足情報(言語/FW/ツール等のバージョンなど)
OS:Windows10
Javaバージョン:1.8.0_131
アプリケーションサーバ:WildFly 10.1.0.Final

Answer 1

思い付いた点を書かせて頂きます。
リンク表記をcommandButtonで実装し、actionで指定したBackingBeanの戻り値に該当のURLを書いてみてはどうでしょうか。CDI経由とすれば動作するのではないかという期待からです。

リンクにJSFタグ（h:link h:commandLink）を使用されてみてはどうでしょうか。

ヒントになるか判りませんが、自環境で動作しているサンプルプログラムのweb.xmlについて関連しそうな箇所を抜粋してみました。

     <servlet-mapping>
        <servlet-name>Faces Servlet</servlet-name>
        <url-pattern>/faces/*</url-pattern>
     </servlet-mapping>
     <security-constraint>
        <display-name>testdisplay</display-name>
        <web-resource-collection>
            <web-resource-name>アプリケーション名</web-resource-name>
            <description>aaaaaaaa</description>
            <url-pattern>/faces/info/*</url-pattern>
            <http-method>GET</http-method>
            <http-method>POST</http-method>
        </web-resource-collection>
        <auth-constraint>
            <description>ログイン認証後にリソースを利用できるロール</description>
            <role-name>admin</role-name>
            <role-name>user</role-name>
        </auth-constraint>
        <user-data-constraint>
            <description>HTTPS接続する場合はCONFIDENTIALに変更する</description>
            <transport-guarantee>NONE</transport-guarantee>
        </user-data-constraint>
    </security-constraint>

Comments

[corporal_cregg]

コメントありがとうございます。
元々h:linkタグで実装していましたので、
ご教示頂いた通り、h:commandLinkと、h:commandButtonでも試してみました。
が、今のところ結果は変わらずです。
もう少し色々と試してみます。

[corporal_cregg]

web.xmlのご提示ありがとうございます。
こちらの環境との違いは、http-methodタグがないくらいですね。

今の事象は、ログイン画面を経由せずに、(ブラウザのURL欄に直接アドレスを張り付けるなどして)直接該当の画面の表示を試みようとしたときと同じ動きに見えるので、ログインしたにも関わらず、認証されたという情報が何らかの理由で消えている？のではないかと感じています。

Answer 2

自己解決しました。
ログイン直後に、ログアウト処理が走っていたことが原因でした。（以下のコードのコメント行）

<!-- -->で囲っていてもEL式が評価されてしまっていたようです。JSFは詳しくないのですがそんなものなんでしょうか？

コメント行を削除したところ、正しく画面遷移が行われるようになりました。

コメントをいただきましたBlueMoon様ありがとうございました。

top.xhtmlより抜粋

            <nav class="navbar navbar-inverse">
                <a class="navbar-brand" href="#">〇〇〇〇 業務システム</a>
                <h:form class="navbar-form pull-right">
                    <p class="span2 navbar-text">#{loginSession.role.roleName}</p>
                    <p class="span2 navbar-text">#{loginSession.userAccount.userName}</p>
                    <h:commandButton class="btn btn-default" value="ログアウト" action="#{loginBean.logout()}" />
                    <!--<input type="submit" class="btn btn-default navbar-btn" jsf:value="ログアウト" jsf:action="#{loginBean.logout()}"  />-->
                </h:form>
            </nav>