在 Spring Security 中使用基本身份验证时防止创建会话

Question

当我使用基本身份验证向我的 RESTful api 请求时，如何防止/避免会话创建？

我的应用程序有一个需要会话的前端，但我的其他一些应用程序通过 RESTful api 与它通信。在这种情况下，我需要阻止会话创建，因为我的应用程序有一个会话管理，限制每个用户 1 个会话。

我今天的问题是其他应用程序使活动的浏览器会话无效，因为其他应用程序使用的是浏览器使用过的同一用户。

Answer 1

经过一番研究，我找到了solution using Multiple HttpSecurity configurations。我创建了 2 个安全配置。

我的主要现在仅在存在特定 HEADER 并且在此配置下会话管理为 STATELESS 时应用：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //@formatter:off
        http.requestMatcher(new RequestMatcher() {
            @Override
            public boolean matches(HttpServletRequest request) {
                return request.getHeader(CheckVersionAspect.ESB_VERSION_HEADER) != null ||
                        request.getHeader(CheckVersionAspect.PDV_VERSION_HEADER) != null;
            }
        }).authorizeRequests()
            .anyRequest().authenticated()
        .and()
            .httpBasic()
        .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        //@formatter:on
    }

第二个配置继续会话管理以限制每个用户 1 个会话。

感谢this answer。