SpringSecurity-10-Session会话管理
lipiwang 2024-11-03 15:51 23 浏览 0 评论
SpringSecurity-10-Session会话管理
理解Session
Http协议是一种无状态协议所以当服务端需要记录用户的状态时，需要某种机制用于识别用户，这个机制就是Session。服务器通过和用户约定每一个请求携带一个id信息，用于统一用户的请求有了管理，并且区分不同用户。基于session方案，为让用户请求都携带同一个id,并且不妨碍用户体验的情况下，选择cookie作为载体是一个不错的选择，用户第一次访问服务器的时候，没有携带id,服务器端会生成sessionid:session键值对，并且发送sessionid给客户端添加到cookie中。然后该用户在之后的访问中，每一次请求都会将sessionid放到cookie中，使得服务端可以很容易识别用户。
但是有时候用户为了保护个人信息或者安全考虑会禁用cookie,这时候cookie就无法使用。因此有时候服务还支持用url重写来实现，比如：
http://www.baidu.com;jessionid=xxx
URL重写原本是为了兼容禁用cookie的浏览器而设计的，但也容易被黑客利用。黑客只需访问一 次系统，将系统生成的sessionId提取并拼凑在URL上，然后将该URL发给一些取得信任的用户。只要 用户在session有效期内通过此URL进行登录，该sessionId就会绑定到用户的身份，黑客便可以轻松享 有同样的会话状态，完全不需要用户名和密码，这就是典型的会话固定攻击。
防御会话固定攻击
sessionManagement是一个会话管理的配置器，其中，防御会话固定攻击的策略有四种：
- none:用户登录后session不发生变化
- newSession：用户登录以后创建新的session
- migrateSession:用户登录后创建新的session,但是会将旧的session中数据复制到新的session中。
- changeSessionId：不创建新的会话，而是使用selert容器提供的会话固定保护，每次登录访问之后都更换sessionid，但是没有新建session会话。默认启动此策略
http.sessionManagement().sessionFixation().changeSessionId();
会话过期
除了防御会话固定攻击，还可以通过SpringSecurity配置会话过期策略，比如会话过期跳转到某个URL。在Springboot应用中有两种会话超时设置的方式，当会话超时之后用户需要重写登录才可以访问应用：
- server.servlet.session.timeout=1m
- spring.session.timeout=1m
方式1是springboot应用自带的session超时设置，方式2是使用Spring Session之后。提供的session超时配置，方式2优先级高。
在Spring Boot中Session超时最短的时间是一分钟，当你的设置小于一分钟的时候，默认为一分钟默认超时时长是30分钟
默认情况下session失效以后会跳转到认证页面，我们可以自定义session失效后，响应结果，有以下两种方式。
invalidSessionUrl
invalidSessionUrl作用是session失效后跳转的url，配置如下，在安全配置中心的 configure(HttpSecurity http)方法中添加代码如下：
- 在src\main\resources\templates路径下添加invalidSession.html
<!--suppress ALL-->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org" lang="en">
<head>
<meta charset="utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<title>springboot葵花宝典登录页面</title>
<!-- Tell the browser to be responsive to screen width -->
<meta name="viewport" content="width=device-width, initial-scale=1">
</head>
<body>
<h1>springboot葵花宝典登录页面</h1>
<h2>session会话失效</h2>
</body>
</html>
- 在controller中添加
@RequestMapping("/invalidSession")
public String invalidSession() {
return "invalidSession"; // classpath: /templates/login.html
}
- 在LearnSrpingSecurity的configure(HttpSecurity http)添加配置
http.sessionManagement().invalidSessionUrl("/invalidSession")
具体配置如图
注意要以上路径需要配置permitAll()权限，即无需授权即可访问
测试
启动项目登录后，再次登录，结果如下
invalidSessionStrategy
session失败后的策略，配置如下：
- 创建com.security.learn.sessionStrategy.CustomInvalidSessionStrategy代码如下
public class CustomInvalidSessionStrategy implements InvalidSessionStrategy {
private static ObjectMapper objectMapper = new ObjectMapper();
@Override
public void onInvalidSessionDetected(HttpServletRequest request, HttpServletResponse response) throws IOException, ServletException {
Cookie cookie = new Cookie("JSESSIONID", null);
cookie.setMaxAge(0);
String contextPath = request.getContextPath();
String c= contextPath.length() > 0 ? contextPath : "/";
cookie.setPath(c);
response.addCookie(cookie);
// 当认证失败后，响应 JSON 数据给前端
response.setContentType("application/json;charset=UTF-8");
response.getWriter().write(objectMapper.writeValueAsString("策略失效"));
}
}
- 将CustomInvalidSessionStrategy注入容器
@Configuration
public class Myconfig {
@Bean
@ConditionalOnMissingBean(InvalidSessionStrategy.class)
public CustomInvalidSessionStrategy customInvalidSessionStrategy(){
return new CustomInvalidSessionStrategy();
}
}
- 添加session失效处理
在LearnSrpingSecurity的configure(HttpSecurity http)添加配置，代码如下
测试
启动项目登录后，再次登录，结果如下
如果您觉得本文不错，欢迎关注,点赞,收藏支持，您的关注是我坚持的动力！
公众号 springboot葵花宝典 主要分享JAVA技术，主要包含SpringBoot、SpingCloud、Docker、中间件等技术
原创不易，转载请注明出处，感谢支持！如果本文对您有用，欢迎转发分享！
相关推荐
- 《每日电讯报》研发数字工具，教你更有效率地报道新闻
-
为鼓励新闻编辑部持续创新，《每日电讯报》正在尝试有战略地研发数字工具。网站的数字媒体主任马尔科姆o科尔斯（MalcolmColes）表示，《每日电讯报》正试图去“创建一些可持续资产”，以便于让记者们...
- html5学得好不好，看掌握多少标签
-
html5你了解了多少？如果你还是入门阶段的话，或者还是一知半解的话，那么我们专门为你们收集的html5常用的标签大全对你就很有帮助了，你需要了解了html5有哪些标签你才能够更好的。驾驭html5...
- 前端分享-少年了解过iframe么（我想了解少年）
-
iframe就像是HTML的「内嵌画布」，允许在页面中加载独立网页，如同在画布上叠加另一幅动态画卷。核心特性包括：独立上下文：每个iframe都拥有独立的DOM/CSS/JS环境（类似浏...
- 做SEO要知道什么是AJAX(人能看到但搜索引擎看不到的内容)
-
一个明显的，人能看到但搜索引擎不能看到的内容是AJAX。那么什么是AJAX呢？其实，了解过的基本上也都清楚，AJAX不是新的编程语言,而是一种使用现有标准的新方法。AJAX最大的优点是在不重新加...
- 介绍最前沿的人工智能创新，‘无反向传播’神经网络训练方法?
-
图像由GoogleImageFX生成前言：本文整理自NoProp原始论文与实践代码，并结合多个公开实现细节进行了全流程复现。对神经网络训练机制的探索仍在不断演进，如果你也在研究反向传播之...
- 说说我们对HTML6的期许（对html的看法）
-
HTML5概述HTML5是HTML语言最受欢迎的版本之一，它支持音频和视频、离线存储、移动端、和标签属性等等。还提供了article,section,header这样的标签来帮助开发者更好...
- 浏览器中在线预览pdf文件，pdf.mjs插件实现web预览pdf
-
背景：本来只是淘宝上卖卖袜子，想着扩展一下业务，准备做同名“来家居”海外袜子馆外贸项目，碰到pdf在线预览的需求，就找了pdf.js插件进行实践后把此方法记录下来，可以通过多种方法来实现，每种方法都有...
- SVG 在前端的7种使用方法，你还知道哪几种?
-
本文简介点赞+关注+收藏=学会了技术一直在演变，在网页中使用SVG的方法也层出不穷。每个时期都有对应的最优解。所以我打算把我知道的7种SVG的使用方法列举出来，有备无患~如果你还...
- HTML5常用标签大全（html5em标签）
-
HTML前端开发最终取决于掌握标签的多少HTML大概有七八百个标签楼主这里给大家总结了下HTML常用标签标签描述<!--...-->定义注释。<!DOCTYPE>定义文档类型...
- "伪君子Snoop Dogg!"... WHAT?| MetroDaily 24/7
-
TUE.01-新作品-虽说年纪大了会有点糊涂，但是最近SnoopDogg的这波操作实在是让粉丝们有点迷，甚至有人表示没想到他是这样的"伪君子"......而这一切都源于他近日在IG上Po出的一...
- 莎夏·班克斯盼望表哥Snoop Dogg为其作出场曲
-
NXT女子冠军莎夏·班克斯(SashaBanks)近日接受了迈阿密先驱报采访，访谈纪要如下：关于她出众的形象：“我一向喜欢与众不同。为了能让人眼前一亮，我的装束总是非常前卫、非常抢眼，这样才能让观众...
- 喜欢Snoop!全球第一间「史努比博物馆」海外分馆在东京!
-
1950年起，由美國漫畫家CharlesM.Schulz創作的作品《Snoopy》史努比，其鮮明的可愛角色與幽默的劇情內容，至今仍成為許多大朋友與小朋友心中的最愛。為了紀念作者所設立的全球首...
- Vetements 推出 Snoop Dogg 肖像「天价」T-Shirt
-
Vetements的CEOGuramGvasalia早前才透露品牌经营策略的秘密–Vetements如何成为人人热议的话题品牌。但似乎他仍有更多需要解释的东西–这个法国奢侈品牌最新...
- 狗爷Snoop Dogg的《I Wanna Thank Me》巡回演唱会旧金山站
-
西海岸匪帮说唱歌手SnoopDogg在《IWannaThankMe》巡回演唱会旧金山站表演（图片来自ICphoto）西海岸匪帮说唱歌手SnoopDogg（图片来自ICphoto）西海...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- maven镜像 (69)
- undefined reference to (60)
- zip格式 (63)
- oracle over (62)
- date_format函数用法 (67)
- 在线代理服务器 (60)
- shell 字符串比较 (74)
- x509证书 (61)
- localhost (65)
- java.awt.headless (66)
- syn_sent (64)
- settings.xml (59)
- 弹出窗口 (56)
- applicationcontextaware (72)
- my.cnf (73)
- httpsession (62)
- pkcs7 (62)
- session cookie (63)
- java 生成uuid (58)
- could not initialize class (58)
- beanpropertyrowmapper (58)
- word空格下划线不显示 (73)
- jar文件 (60)
- jsp内置对象 (58)
- makefile编写规则 (58)