Spring，无法在Java配置中更改SessionAuthenticationStrategy

Question

  override def configure(http: HttpSecurity): Unit = {
    println("loading config")
    http.
      csrf().disable().
      authorizeRequests().
      antMatchers("/api/member/**").permitAll().
      antMatchers("/api/feedback/submit").permitAll().
      antMatchers("/test/**").permitAll().
      antMatchers("/session").access("hasRole('ROLE_ADMIN')").
        anyRequest().anonymous().and().
      securityContext().securityContextRepository(memcachedSecurityContextRepository).and().
      formLogin().
        loginPage("/login").failureUrl("/denied").defaultSuccessUrl("/session").and().
      logout().invalidateHttpSession(true).logoutSuccessUrl("/login").and().
      sessionManagement().invalidSessionUrl("/login").maximumSessions(1).expiredUrl("/login").and().
      sessionFixation().none()
  }
}

为Ant[pattern='/session']添加web访问控制表达式“has role('role_admin')'

正在为org.html" target="_blank">springframework.security.web.util.matcher.anyrequestmatcher@1添加web访问控制表达式“anonymous”，已验证配置属性

验证的配置属性

检查请求的匹配：“/API/Member/Account”；针对“/logout”

/API/Member/Account位于附加过滤器链中12个中的第5个位置；正在激发筛选器：“UsernamePasswordAuthenticationFilter”

检查请求的匹配：“/API/Member/Account”；针对“/login”

/API/Member/Account位于附加过滤器链中12个位置中的12个位置；正在激发筛选器：“FilterSecurityInterceptor”

检查请求的匹配：“/API/Member/Account”；对'/API/MEMBER/**'

安全对象：FilterInvocation：URL：/API/Member/Account；属性:[permitAll]

Answer 1

在我的例子中,这起了作用：

http
  .sessionManagement()
    .sessionAuthenticationStrategy(new NullAuthenticatedSessionStrategy()).and()
  ....

NullAuthenticatedSessionStrategy将不执行任何身份验证操作。

这样做是不安全的！这只是为了测试的目的！