如何使Spring Boot从不发布会话Cookie？

Question

我正在通过使用Spring Boot开发Restful API服务器。我将
项目配置为使用基本身份验证，如下所示。

@ComponentScan
@EnableAutoConfiguration
@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    ...
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER).and()
            .csrf().disable()
            .authorizeRequests().anyRequest().hasRole("USER").and()
            .httpBasic();
    }
    ...
}

但是，当我通过Chrome-Postman-Plugin测试API时，第一次调用后，服务器
不再需要用户凭据。我注意到创建了“ JSESSIONID” cookie 。

我的项目中没有其他安全配置。我不知道为什么

Answer 1

您是否尝试过使用SessionCreationPolicy.STATELESS。有一个微妙
的差异STATELESS，并NEVER在春季
文档：

STATELESS：Spring Security永远不会创建HttpSession，也
永远不会使用它来获取SecurityContext。

NEVER：Spring Security永远不会创建一个HttpSession，但是会使用
HttpSession（如果已经存在）。

因此，我建议您清除所有cookie，将其切换为重STATELESS试。 切换到HttpSession时可能已经有一个。
NEVER