基于ant matcher的不同api是否可以有两种会话管理策略

Question

我正在尝试以下配置代码，以基于 ant matchers 为两个 API 获得不同的会话管理

 http
 .authorizeRequests().antMatchers("/apiV1/**").authenticated()
 .and().sessionManagement()
 .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)

 // How to add in details for custom session cookie for apiV1 ?
 .and().authorizeRequests().antMatchers("/apiV2/**").authenticated()
 .and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)

 // How to add in details for custom session cookie for apiV2 ?
 .and().oauth2Login(Customizer.withDefaults());

我还需要在 3 分钟后使 /apiV2 会话无效（可配置）。

是否也可以为这两个 API 维护两个不同的会话 cookie 属性（使用自定义名称），并根据某些业务逻辑使用代码使它们无效？

Answer 1

您可以通过使用单独的过滤器链来处理每个请求来做到这一点。 实现 2 个扩展 WebSecurityConfigurerAdapter 的独立配置类

Have one with: 
@Configuration
@Order(1)
public class SecurityConfig1 extends WebSecurityConfigurerAdapter{

    protected void configure(HttpSecurity http) throws Exception {
            http.requestMatcher(""/apiV1/**"")
    .... //

和

@Configuration
@Order(2)
public class SecurityConfig2 extends WebSecurityConfigurerAdapter{

    protected void configure(HttpSecurity http) throws Exception {
            http.requestMatcher(""/apiV2/**"")
    ....

Spring会创建2个独立的过滤器链，过滤器链代理会根据请求匹配器将请求路由到每个过滤器链，然后您可以在每个过滤器中自定义Session过滤器等，甚至有不同的身份验证等。

本文中的更多信息：https://www.baeldung.com/spring-security-multiple-entry-points