создания-сессии без гражданства использование

Question

Я надеялся, что изменение в create-session="stateless" будет конец этого достичь без гражданства безопасности пружинного в моем веб-приложение, но это не так.

С учетом этого изменения, безопасность весной, кажется, не работает, так как (мое предположение) весной безопасности оленья кожа магазин что-нибудь в сессии, и не может сделать проверку подлинности для обеспеченных веб-запросов.

Как я могу использовать эту функцию stateless?

Я не могу найти соответствующие примеры еще о том, как достичь без гражданства безопасности пружинной без гражданства веб-приложения.

Спасибо!

Answer 1

У меня есть веб-приложение, основанное на Spring, которое имеет полную защиту без гражданства, и единственный способ заставить его работать так, чтобы полностью отключить создание сеанса (с помощью create-session="never"). Это заставляет повторить аутентификацию с каждым запросом, поэтому вам также нужно будет настроить webapp на использование HTTP Basic Auth или Digest Auth (по сравнению с HTTPS, конечно), поскольку они не требуют особо сложных переговоров (напротив, форма и OAuth как требуют сеанса, потому что у них есть гораздо более сложный процесс для установления контекста аутентификации). Это означает, что вы хотите поместить элемент <security:http-basic /> в свой элемент <security:http>.

(Преимущество этого заключается в том, что он позволяет создавать чрезвычайно простые клиентские библиотеки, поскольку им не нужно выполнять управление файлами cookie/сеансов. Стоимость - это некоторые издержки на обработку - определение того, какой набор ролей пользователь участвуя, так как придется пересматривать по каждому запросу - и некоторые ограничения на механизмы аутентификации, которые вы можете использовать.)

Answer 2

Ответ от Donal в основном правильный, и для браузера вы, вероятно, не хотите использовать приложение без гражданства.

Для справки, create-session="stateless" - лучший вариант, если у вас действительно есть приложение без состояния, такое как клиент RESTful. Этот параметр был введен в Spring Security 3.1. Это позволит избежать добавления части инфраструктуры Spring Security, которые делают использование сессии (например, HttpSessionSecurityContextRepository, SessionManagementFilter, RequestCacheFilter), так что вы получите компактнее настройки.

С create-session="never", Spring Security никогда не будет создавать саму сессию, но будет использовать один, если ваше приложение делает. На практике многие пользователи даже не знают, что они создают сеансы, поэтому, если вы действительно не хотите сеанса, тогда, stateless - лучший вариант.