Spring Security性在负载平衡（AWS Beanstalk）环境中失败？

Question

我正在处理一个在现有环境中工作得很好的现有代码。该应用程序有一个登录表单，将用户带到登陆页面后，他们登录。

<security:http use-expressions="true">
    <security:intercept-url pattern="/" access="permitAll" />
    <security:intercept-url pattern="/index.html" access="permitAll" />
    <security:intercept-url pattern="/login.html" access="permitAll" />

    ... bunch of other pages ....

    <security:intercept-url pattern="/secure/**" access="isAuthenticated()" />


    <security:form-login login-page="/login.html"
        default-target-url="/secure/landing.html"
        authentication-failure-url="/login.html?login_error=1" />

    <security:logout logout-url="/logout.html"
        logout-success-url="/login.html" />
</security:http>

应用程序在单节点环境中运行良好，例如用户登录时的日志跟踪：

1:[http-bio-8080-exec-1 DEBUG defaultreDirectStrategy-sendredirect-重定向到'/myapp/secure/landing.html'

2:[http-bio-8080-exec-1]调试httpsessionsecuritycontextrepository-saveContext-securityContext存储到httpsession:'org.springframework.security.core.context.securityContextTimpl@86073c69:/*一些细节*/授予权限:role_user

3:[http-bio-8080-exec-1]当请求处理完成时，调试securityContextPersistenceFilter-doFilter-securityContextHolder现在被清除

4:[http-bio-8080-exec-1]调试AntPathRequestMatcher-matches-检查请求的匹配：'/secure/landing.html'；针对'/resources/**'

当这个应用程序（我们使用了完全相同的war文件）进入AWS Beanstalk环境（配置了2个实例）时，会发生以下情况：

2:[http-bio-8080-exec-7]调试httpsessionSecurityContextRepository-CreateNewSessionIfAllow-HttpSession创建为SecurityContext是非默认的

3:[http-bio-8080-exec-7]调试httpsessionsecuritycontextrepository-saveContext-securityContext存储到httpsession:'org.springframework.security.core.context.securityContextTimpl@a3421210:/*一些细节*/授予权限:role_user

4:[http-bio-8080-exec-7]当请求处理完成时，调试securityContextPersistenceFilter-doFilter-securityContextHolder现在被清除

5:[http-bio-8080-exec-9]调试AntPathRequestMatcher-matches-检查请求的匹配：“/login.html”；针对'/resources/**'

逐行比较：

• AWS日志有1个额外的行，第2行
• AWS日志在最后一行（第5行）中显示了线程从exec-7到exec-9的变化（因此丢失了原始请求重定向，并将其替换回/login.html而不是/secure/landing.html)

为了解决AWS中的问题，将beanstalk重新配置为只处理1个实例似乎隐藏了这个问题。

知道在多节点环境中失败的配置缺少什么吗？

Answer 1

当使用负载平衡器时，您必须记住，每个请求最终都可能出现在不同的实例上。在这种情况下，服务器1上存储的任何信息都不能用于服务器2。在用户身份验证的情况下，有几种方法可以解决这个问题：

• 使用第三方维护身份验证信息。
• 使用粘滞会话-配置负载均衡器以在http会话期间始终转发到一台服务器