SpringSecurity-10-Session会话管理

Answer 1

理解Session：在HTTP无状态协议下，为了追踪用户状态，服务器需采用机制识别用户。此机制即为Session。服务端通过用户每次请求携带ID信息，实现统一管理并区分不同用户。采用cookie作为载体，用户首次访问时，服务器生成sessionid与之关联，并发送至客户端作为cookie。后续请求中，用户将sessionid附于cookie内，便于服务器识别。

URL重写与会话固定攻击：URL重写旨在兼容禁用cookie的浏览器，但易被黑客利用。黑客只需提取系统生成的sessionId，拼接于URL中，诱使用户通过此URL登录，便能获取相同的会话状态，无需用户名和密码，威胁用户安全。

防御策略：SpringSecurity的sessionManagement配置器提供四种策略，以防御会话固定攻击。

会话过期：通过SpringSecurity配置会话过期策略，如超时跳转至特定页面。SpringBoot应用中有两种设置方式：自带的session超时配置与使用Spring Session提供的配置。后者的优先级较高。默认会话超时为30分钟，设置小于一分钟时，自动调整为一分钟。

自定义会话失效后的行为：通过invalidSessionUrl和invalidSessionStrategy配置实现。invalidSessionUrl用于指定session失效后的跳转URL，需在安全配置中添加代码。invalidSessionStrategy则定义了session失败后的具体策略。

测试验证：通过启动项目并重复登录，验证配置效果。