防止spring在使用JWT时默认使用会话身份验证

Question

我有一个Spring启动应用程序，它由Azure AD oAuth2保护。我使用JWT授权。在安全配置中

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .anyRequest().authenticated()
                .and()
                .oauth2ResourceServer().jwt();
    }

我还将一些东西保存在会话中。但我发现，如果用户已经通过身份验证，他们可以绕过JWT身份验证，因为spring boot将身份验证保存在会话中。如何禁用此行为并仅允许通过JWT进行授权。

Answer 1

试试这个：

@Override
    protected void configure(HttpSecurity http) throws Exception {
       http.sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }