Spring Security-公共页面重定向到使用无效会话id的登录

Question

我遇到了一个问题，当您已经有一个不再有效的SessionID时，public URL在Spring security中无法工作。

示例:
我有user-register页面，并给它一个permitAll访问权限，如下所示：

http.authorizeRequests().antMatchers("/register**").permitAll();
http.authorizeRequests().anyRequest().authenticated();
http.formLogin().loginPage("/login").permitAll();

http.sessionManagement().invalidSessionUrl("/login?logoutcause=sessiontimeout");
http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
http.sessionManagement().sessionAuthenticationErrorUrl("/login");
http.sessionManagement().maximumSessions(1).maxSessionsPreventsLogin(true);
http.sessionManagement().sessionFixation().newSession();

o.s.s.w.s.SessionManagementFilter        : Requested session ID 8ad2e166-bc21-4646-8390-ad8d1043baec is invalid.
w.s.SimpleRedirectInvalidSessionStrategy : Starting new session (if required) and redirecting to '/login?logoutcause=sessiontimeout'
o.s.s.w.DefaultRedirectStrategy          : Redirecting to '/login?logoutcause=sessiontimeout'

@Override
public void configure(WebSecurity web) throws Exception {
  web.ignoring().antMatchers("/register/**");
  super.configure(web);
}

我禁用了以下配置，它解决了我的所有问题

// DISABLED
// http.sessionManagement().invalidSessionUrl("/login?logoutcause=sessiontimeout"); 

这不是最好的方法，对吧？什么是更好更有保障的方法去做。请帮助我理解为什么spring会这样做，或者我配置错了什么。

Answer 1

我通过添加以下配置解决了同样的问题：

.antMatchers("/login-invalid").permitAll()