在Spring会话属性中共享数据

Question

我使用Spring Security和spring MVC。Am在未经身份验证的请求中保留会话中的数据属性（安全性：spring security中无）。我尝试打印会话id。之后，我登录到应用程序。在此创建新会话。我尝试打印会话id。两者都不同。但是当我访问会话属性中的数据时。它是存在的。在我的理解中，由于新会话是在登录后创建的，数据应该丢失，还是spring正在共享会话属性？下面是代码。

@RequestMapping(value = "/persistFKey")
public @ResponseBody String persistFKey(HttpServletRequest req,HttpServletResponse res,ModelMap modelMap) {
    System.out.println("SEssion ID ----persistKey ----"+request.getSession().getId());
    String fkey = request.getParameter("fkey");
    modelMap.addAttribute("fkey", fkey);    
    return "success";
}

在spring security xml中，我给出了

<sec:http security="none" pattern="/portal/persistFKey" />

登录后，调用新页面时获取会话属性中保存的数据

@RequestMapping(value = "/renderScreen")
public String renderScreen(HttpServletRequest request, Model model,
@ModelAttribute("srceenModel") ScreenModel srceenModel,ModelMap modelMap) {
    System.out.println("SEssion ID ----renderBooking----"+request.getSession().getId());
    System.out.println("SessionKey persisted --------"+(String)modelMap.get("fkey"));
}

两者都在同一SpringMVC控制器中。

Answer 1

默认情况下，Spring Security在登录时更改用户的会话ID以避免会话固定攻击。

将用户的旧会话数据迁移到新会话数据也足够好。

您可以通过以下方式更改此行为