TL;DR

是否可以在每个请求的基础上控制 Spring(安全)中的 session 创建策略？

长版...

我一直在为我们的应用程序使用普通的登录表单用户身份验证。 一些 Controller 是@RestControllers，到目前为止，由 cookie 跟踪的默认用户 session 允许它正常工作。

(即，当 XHR 请求来自页面时，当浏览器像往常一样发送 JSESSIONID cookie 时，该请求被验证为先前登录的用户)

我现在想要允许从休息客户端而不是浏览器调用一些 @RestController 端点，所以我创建了一个 API token 身份验证方案 - 这工作正常。

最后的清理工作之一是 REST 调用生成一个 session ，我希望尽可能避免这种情况。

我无法将 session 策略设置为 NEVER(因为我仍然依赖于我的 Web 用户的 session )。

我已尝试 IF_REQUIRED 无济于事。

我查看了 HttpSessionSecurityContextRepository，但它包装了请求，并在刷新响应时创建 session 。

(查看下面的堆栈跟踪)

是否可以在其他地方根据每个请求连接到 session 管理？

我可以根据 Authentication 对象的类类型轻松区分请求的类型。

at myapp.cfg.WebConfig$1.sessionCreated(WebConfig.java:74)
at io.undertow.servlet.core.ApplicationListeners.sessionCreated(ApplicationListeners.java:300)
at io.undertow.servlet.core.SessionListenerBridge.sessionCreated(SessionListenerBridge.java:56)
at io.undertow.server.session.SessionListeners.sessionCreated(SessionListeners.java:52)
at io.undertow.server.session.InMemorySessionManager.createSession(InMemorySessionManager.java:187)
at io.undertow.servlet.spec.ServletContextImpl.getSession(ServletContextImpl.java:741)
at io.undertow.servlet.spec.HttpServletRequestImpl.getSession(HttpServletRequestImpl.java:370)
at javax.servlet.http.HttpServletRequestWrapper.getSession(HttpServletRequestWrapper.java:270)
at org.springframework.security.web.context.HttpSessionSecurityContextRepository$SaveToSessionResponseWrapper.createNewSessionIfAllowed(HttpSessionSecurityContextRepository.java:427)
at org.springframework.security.web.context.HttpSessionSecurityContextRepository$SaveToSessionResponseWrapper.saveContext(HttpSessionSecurityContextRepository.java:364)
at org.springframework.security.web.context.SaveContextOnUpdateOrErrorResponseWrapper.onResponseCommitted(SaveContextOnUpdateOrErrorResponseWrapper.java:85)
at org.springframework.security.web.util.OnCommittedResponseWrapper.doOnResponseCommitted(OnCommittedResponseWrapper.java:245)
at org.springframework.security.web.util.OnCommittedResponseWrapper.access$000(OnCommittedResponseWrapper.java:33)
at org.springframework.security.web.util.OnCommittedResponseWrapper$SaveContextServletOutputStream.flush(OnCommittedResponseWrapper.java:512)
at org.springframework.security.web.util.OnCommittedResponseWrapper$SaveContextServletOutputStream.flush(OnCommittedResponseWrapper.java:513)
at com.fasterxml.jackson.core.json.UTF8JsonGenerator.flush(UTF8JsonGenerator.java:1050)
at com.fasterxml.jackson.databind.ObjectWriter.writeValue(ObjectWriter.java:953)

最佳答案

将您的安全配置拆分为表单登录(基于 session 的 API 访问)和无状态 API token 身份验证方案的单独部分。

例子:

@Configuration
@EnableWebSecurity
public class SecurityConfiguration {

    @Order(1)
    @Configuration
    class ApiSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .antMatcher("/api/**")
            .authorizeRequests().anyRequest().authenticated()
            .and()
            .httpBasic().realmName("API") // your API token authentication scheme 
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER)
            .and()
            .exceptionHandling().authenticationEntryPoint(new Http401AuthenticationEntryPoint("Form realm=\"API\"")); // prevent basic authentication popup in browser
    }
    }

    @Order(2)
    @Configuration
    class DefaultSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().logoutSuccessUrl("/login").permitAll();
    }
    }
}

将 .httpBasic().realmName("API") 替换为您自己的身份验证方案。

调用您的 API，例如curl -v ... 并验证响应中没有 Set-Cookie header 。否则，您的代码会在某处自行创建一个 http session 。

关于java - 每个请求的 Spring session 创建策略？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/43523648/