Возможно ли использовать два разных приложения с пружинным сеансом с одним сервером redis?

Question

Я начал использовать весеннюю сессию успешно с одним nginx, двумя котами и одним сервером redis для реализации кластерных сеансов и возникли некоторые вопросы. Прежде всего, я имею в виду два полностью приложения, когда я говорю о разных приложениях, я не говорю о двух экземплярах одного и того же приложения.

Могу ли я использовать два или более разных приложения для весеннего сеанса для хранения сеансов только с одним сервером redis?

Эти приложения могут работать в разных экземплярах tomcats?

Как сеанс Spring избегает конфликта идентификаторов сеансов между различными приложениями с одним сервером redis?

Нужно ли добавлять суффикс или префикс id, чтобы избежать этой проблемы?

Answer 1

Весенняя сессия в настоящее время не поддерживает сеансы обзора. См. gh-166 для получения подробной информации об этом.

Spring Session генерирует безопасный случайный идентификатор с высоким уровнем энтропии для идентификаторов сеанса, поэтому крайне редко возникает вероятность столкновения.

Это означает, что вы можете использовать один и тот же экземпляр Redis для нескольких приложений с использованием Spring Session так долго, как вы хорошо со следующим утверждением:

Злоумышленник может использовать идентификатор сеанса приложения с Application B. Почему это важно? Рассмотрим следующую ситуацию:

• Приложение A - это общедоступное приложение, для которого любой пользователь может создать учетную запись.
• Приложение B - частное приложение, которое могут только зарегистрированные пользователи.
• Злоумышленник создает учетную запись и аутентифицируется с помощью приложения A
• Пользователь копирует свой идентификатор сеанса для приложения A. Они перемещаются в приложение B и вставляют идентификатор сеанса в свои файлы cookie для приложения B и теперь аутентифицируются.

Это может быть и не проблема для вас. Например, хорошая практика обеспечения безопасности обеспечит правильное разрешение пользователя путем поиска роли ADMIN в приложении B. Приложение A не будет заполнять эту роль, поэтому, пока пользователь аутентифицируется с помощью приложения B, они не имеют права использовать его.