Tomcat中的Spring警告输出“无法创建会话”答案

【问题标题】：Spring warning output in tomcat "Failed to create a session"Tomcat中的Spring警告输出“无法创建会话”
【发布时间】：2011-06-16 22:06:44
【问题描述】：

我收到以下消息，但我不知道它们是什么意思。一切似乎都正常运行，但我只想安全起见。对这些警告有什么可以做的：

2011-01-25/23:30:06.856/EST [http-80-exec-1] WARN Failed to create a session, as response has been committed. Unable to store SecurityContext.

2011-01-25/23:30:09.597/EST [http-80-exec-3] WARN Authentication event InteractiveAuthenticationSuccessEvent: email@domain.com; details: org.springframework.security.web.authentication.WebAuthenticationDetails@957e: RemoteIpAddress: 170.9.26.16; SessionId: null

我正在运行 spring 3 和 tomcat 6 和 spring security 3

更新

我根据此信息（来自 here）重新配置了以下 bean：

创建会话

控制创建 HTTP 会话的急切程度。如果未设置，则默认为“ifRequired”。其他选项是“总是”和“从不”。该属性的设置会影响 HttpSessionContextIntegrationFilter 的 allowSessionCreation 和 forceEagerSessionCreation 属性。除非此属性设置为“从不”，否则 allowSessionCreation 将始终为真。 forceEagerSessionCreation 为“false”，除非它设置为“always”。所以默认配置允许创建会话，但不强制。例外情况是，如果启用了并发会话控制，则当 forceEagerSessionCreation 设置为 true 时，无论此处的设置如何。然后在初始化 HttpSessionContextIntegrationFilter 期间使用“never”会导致异常。

<bean id="httpSessionContextIntegrationFilter" class="org.springframework.security.web.context.HttpSessionContextIntegrationFilter">
    <property name="allowSessionCreation" value="false"/>
</bean>

【问题讨论】：

标签： java spring security tomcat

【解决方案1】：

将以下内容添加到您的配置中：http session-creation='never'> 更多关于 Spring 论坛：http://forum.springsource.org/showthread.php?t=82196

【讨论】：

这应该与您的 spring 安全配置一起使用。您是否定义了？如果是这样，您可以在附近添加它：

【解决方案2】：

根据spring文档http://docs.spring.io/spring-security/site/docs/3.1.x/reference/technical-overview.html第6.3.2节

您可能需要先发制人地创建一个 HTTP 会话以缓存请求之间的上下文，然后再将响应写入客户端，一旦响应提交就无法创建会话。

使用 grails、spring-security-core 插件、X509 身份验证这对我有用。

在 conf/Config.groovy 添加

grails.plugins.springsecurity.useSecurityEventListener = true grails.plugins.springsecurity.onInteractiveAuthenticationSuccessEvent = { e, appCtx -> RequestContextHolder.currentRequestAttributes().getSession().getId()}

【讨论】：