Spring Security身份验证成功，密码错误

Question

我的网站安全配置如下；

@EnableWebSecurity
@Configuration
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated().and().httpBasic();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder builder) throws Exception {
        builder.inMemoryAuthentication().withUser("hellouser")
                .password("hellopass").roles("USER");
    }
}

当我给出错误的用户名时，身份验证会按预期失败。但是，如果我一次验证成功，之后所有密码错误但用户名正确的请求都会成功验证。。。。

它被缓存在什么地方了吗？

我可以禁用此功能吗？

难道它不应该给出错误密码的身份验证失败吗？

注意：我正在学习Spring安全。我没有任何HTML页面在这个应用程序和测试从邮递员。

Answer 1

即使使用错误的凭据，我也可以使用postman的基本身份验证从下面的配置访问url。这是因为一旦您提供了正确的凭据，这些凭据就会存储在会话中，即使您重复相同的请求，也会使用相同的会话来访问url。

http.httpBasic().and().authorizeRequests().antMatchers("/secure/admin/**").hasRole("ADMIN").antMatchers("/api/**","/secure/getUserByName/**").hasAnyRole("USER","ADMIN").anyRequest().fullyAuthenticated();

解决方案：

http.session管理（）。

只需添加上面的代码。因此，此配置确保一次仅对用户的单个实例进行身份验证。如果同一用户尝试访问url，则其上一个会话将被终止，然后用户必须再次提供创建新会话的登录凭据。

Answer 2

在配置方法中使用http.sessionManagement（）。