为什么在 Spring Boot 中使用自定义安全过滤器登录后 JSESSIONID 没有改变？

Question

我注意到使用自定义安全过滤器登录后JSESSIONID不会更改。

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .addFilterBefore(authenticationFilter(), UsernamePasswordAuthenticationFilter.class)
      .authorizeRequests()
      .antMatchers("/", "/home").permitAll()
      .anyRequest().authenticated()
      .and()
      .formLogin()
      .loginPage("/login")
      .permitAll()
      .and()
      .logout()
      .permitAll();
  }


  public UsernamePasswordAuthenticationFilter authenticationFilter() throws Exception {
    CustomFilter customFilter = new CustomFilter();
    customFilter.setAuthenticationManager(authenticationManagerBean());
    return customFilter;
  }

即使我放置sessionManagement().sessionFixation().newSession()但是当我删除自定义过滤器时，JESESSIONID 在每次登录和退出时都会被刷新。

有人知道为什么吗？ 我想明白。

自定义过滤器具有相同的UsernamePasswordAuthenticationFilter实现

public class CustomFilter extends UsernamePasswordAuthenticationFilter {

  public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    if (!request.getMethod().equals("POST")) {
      throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
    } else {
      String username = this.obtainUsername(request);
      String password = this.obtainPassword(request);
      if (username == null) {
        username = "";
      }

      if (password == null) {
        password = "";
      }

      username = username.trim();
      UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);
      this.setDetails(request, authRequest);
      return this.getAuthenticationManager().authenticate(authRequest);
    }
  }
  
}

我根据本指南构建了一个简单的项目： https : //spring.io/guides/gs/securing-web/

Answer 1

简短的回答是UsernamePasswordAuthenticationFilter中的默认SessionAuthenticationStrategy是NullAuthenticatedSessionStrategy 。

通过简单地扩展UsernamePasswordAuthenticationFilter并创建一个新实例，自定义过滤器将使用NullAuthenticatedSessionStrategy 。

当 Spring Security 从表单登录配置创建UsernamePasswordAuthenticationFilter ，它将SessionAuthenticationStrategy设置为HttpSecurity配置的策略，默认为ChangeSessionIdAuthenticationStrategy 。

如果您跟踪代码，您可以看到这是如何发生的。

配置http.formLogin() Spring Security 创建一个FormLoginConfigurer扩展AbstractAuthenticationFilterConfigurer 。

FormLoginConfigurer构造函数创建UsernamePasswordAuthenticationFilter的新实例。

稍后，当在FormLoginConfigurer上调用configure方法时，您会注意到过滤器上设置了各种属性，其中之一是SessionAuthenticationStrategy 。

SessionAuthenticationStrategy sessionAuthenticationStrategy = http
        .getSharedObject(SessionAuthenticationStrategy.class);
if (sessionAuthenticationStrategy != null) {
    this.authFilter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy);
}

如果您查看SessionManagementConfigurer ，您会注意到默认策略是ChangeSessionIdAuthenticationStrategy 。

SessionAuthenticationStrategy#onAuthentication稍后在UsernamePasswordAuthenticationFilter的doFilter方法中调用。

这就是为什么 Spring Security 配置的过滤器会在登录后更改会话 ID，而没有设置属性的过滤器的新实例不会。