我希望更改为 create-session="stateless" 将结束在我的 web 应用中实现无状态 Spring 安全性，但事实并非如此。
随着这一变化，spring security 似乎无法正常工作，因为（我的假设）spring security 不会在会话中存储任何内容，并且无法对受保护的 Web 请求进行身份验证。
如何使用这个无状态功能？
我似乎找不到任何有关如何为无状态 Web 应用实现无状态 Spring 安全性的相关示例。
谢谢！
【问题讨论】：
Donal 的回答基本上是正确的，对于浏览器，您可能不想使用无状态应用程序。
作为参考，如果您确实拥有无状态应用程序（例如 RESTful 客户端），create-session="stateless" 是一个更好的选择。此选项是在 Spring Security 3.1 中引入的。它将避免添加使用会话的 Spring Security 基础结构部分（例如HttpSessionSecurityContextRepository、SessionManagementFilter、RequestCacheFilter），因此您可以获得更精简的设置。
使用create-session="never"，Spring Security 将永远不会自己创建会话，但如果您的应用创建了会话，则会使用它。在实践中，许多用户甚至不知道他们正在创建会话，所以如果您真的不想要会话，那么stateless 是最好的选择。
【讨论】：
我有一个基于 Spring 的 web 应用程序，它具有完全无状态的安全性，使其工作的唯一方法是完全禁用会话创建（使用 create-session="never"）。这会强制对每个请求进行重新身份验证，因此您还需要将 webapp 配置为使用 HTTP Basic Auth 或 Digest Auth（当然是通过 HTTPS），因为它们不需要特别复杂的协商（相比之下，表单基于 -based 的登录和 OAuth 都需要一个会话，因为它们建立身份验证上下文的过程要复杂得多）。这意味着您需要在您的 <security:http> 元素中添加一个类似 <security:http-basic /> 的元素。
（这样做的好处是它启用了非常简单的客户端库，因为它们不必进行 cookie/会话管理。成本是一些处理开销——建立用户参与的角色集因为必须在每个请求上重新计算 - 以及您可以使用的身份验证机制的一些限制。）
【讨论】：