如何使用 Spring Security 识别访客用户答案

【问题标题】：How to identify guest user using Spring Security如何使用 Spring Security 识别访客用户
【发布时间】：2017-08-02 16:33:34
【问题描述】：

我的网站是一个电子商务网站，用户可以在其中将商品添加到他们的购物车中。每个用户都有一个购物车，即使他/她没有登录（即访客用户）。我想通过将某种 key 放入他们的 cookie 来识别来宾用户。

不知道 Spring Framework 是否已经可以处理这个问题了？

如果不是这样，我必须自己实现它，但我不确定 key 是否可以放入 cookie。我知道HMAC，但密钥必须是唯一的，对吗？ 在这种情况下我应该使用什么算法来生成key？

【问题讨论】：

为什么不能使用默认匿名用户？
@M.Deinum，抱歉回复晚了。因为我想把他的购物车持久化在数据库中，这样当他以后再访问网站时，购物车还在。因此，我需要一些东西来识别他。顺便说一句，我不确定 Spring Framework 的“默认匿名用户”是什么。 Spring 是否已经跟踪匿名用户？谢谢。
spring-security 不会为 AnonymousAuthenticationToken 编写任何会话指示符，请参阅 org.springframework.security.web.session.SessionManagementFilter.doFilter(ServletRequest, ServletResponse, FilterChain)。
in stackoverflow.com/questions/51045564/… 说你可以强制spring添加JSESSIONID，然后你可以得到JSESSIONID。

【解决方案1】：

由于我有同样的要求，我写了spring-security-guest，它使用客户端生成的 X-Client-Token HTTP 标头来启动新会话。

【讨论】：