Spring Security 如何通过各种 Session Creation 和 Session Fixation 组合处理 JSESSIONID？

Question

我有一个使用 Spring Security 4.0.1.RELEASE 的基于 J2EE REST 的应用程序。 不用说，除了 StackOverflow 上的有针对性的问题之外，关于sessionCreationPolicy和sessionFixation Spring 文档很少。

我正在为 Spring Security 使用基于 Java 的配置，如下所示：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(secureEnabled=true, prePostEnabled=true, jsr250Enabled=true, order=1)
public class DefaultSecurityBeansConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
            .sessionFixation().migrateSession()
            .and()...; // additional config omitted for brevity
    }
}

考虑到sessionCreationPolicy和sessionFixation所有可能组合，我真的很想知道 Spring 的预期行为，因为它与JSESSIONID 。

SessionCreationPolicy枚举中的可能值是ALWAYS 、 NEVER 、 IF_REQUIRED和STATELESS 。

对于会话固定可能的值有newSession ， migrateSession ， changeSessionId ，并none 。

谢谢你。

注：是什么促使这个问题的是，我没有看到一个新的JSESSIONID在每次请求时，我有sessionCreationPolicy设置为IF_REQUIRED和sessionFixation设置为changeSessionId 。 JSESSIONID已正确创建，但此后跨请求维护。 我概括了我关于所有组合的问题，希望能帮助处于类似情况但设置略有不同的其他人。

Answer 1

重要的是要记住 Spring Security 并不总是完全控制HttpSession 。 它可以自己创建一个，但也可以由容器提供一个Session对象。

对于SessionCreationPolicy.IF_REQUIRED ，文档状态：

Spring Security 只会在需要时创建一个 HttpSession

在您的特定情况下，由于至少两个可能的原因，您没有看到每个请求的新 JSESSIONID：

1. 使用您当前的配置，如果需要，Spring 可以选择创建一个Session 。

2. SessionCreationPolicy.IF_REQUIRED似乎也允许 Spring Security 使用它提供的Session 。 如果是这种情况，您的容器可能会提供此对象，因此会话是跨多个请求维护的（如果您在会话中，这是预期的）。

如果您想禁用 #1，请使用SessionCreationPolicy.NEVER ：

Spring Security 永远不会创建 HttpSession，但如果 HttpSession 已经存在，则会使用它

唯一SessionCreationPolicy将确保春季安全使用没有任何课程是SessionCreationPolicy.STATELESS 。

至于 SessionFixation，它仅在身份验证后为一个用户进行多个会话时才起作用。 在这一点上， SessionCreationPolicy有点无关紧要。

SessionCreationPolicy ：用于决定何时（如果有的话）创建一个新会话

SessionFixation：一旦你有一个用户的会话，如果用户再次登录，如何处理会话

希望这可以帮助！