不要为匿名用户启动会话

Posted 2021-04-02

如何在spring boot 2.0中禁用匿名用户的会话？

我目前的配置：

public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/actuator/**").permitAll()
                .antMatchers("/password/forgot/**").permitAll()
                .antMatchers("/password/reset/**").permitAll()
                .antMatchers("/css/**").permitAll()
                .antMatchers("/js/**").permitAll()
                .antMatchers("/img/**").permitAll()
                .antMatchers("/manage/**").permitAll()
                .antMatchers( "/favicon.ico").permitAll()
                .anyRequest().authenticated();

        http
                .formLogin()
                .loginPage("/login")
                .permitAll()
                .successHandler(authSuccessHandler)
                .and()
                .logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout")).logoutSuccessUrl("/login")
                .invalidateHttpSession(true)
                .permitAll();
    }
}

当我打开登录页面时，仍然会创建一个会话：

答案

也许会话由Spring Security自动创建。通过将create-session设置为never可以禁用该行为。这意味着Spring Security不会尝试自动创建会话。

<http create-session="never">
[...]
</http>

这里有更多细节：https://www.baeldung.com/spring-security-session