Spring Security重新创建HttpSession
Spring Security是一个基于Spring框架的安全性解决方案，用于保护应用程序中的资源和数据。它提供了一套全面的认证和授权机制，可以轻松地集成到Spring应用程序中。
在Spring Security中，重新创建HttpSession是指在用户认证成功后，为了增强安全性，重新生成一个新的HttpSession。这样做的目的是为了防止会话劫持和会话固定攻击。
会话劫持是指攻击者通过某种方式获取到用户的会话ID，然后使用该会话ID冒充用户进行非法操作。会话固定攻击是指攻击者在用户登录之前就获取到了会话ID，并将该会话ID注入到用户的浏览器中，使得用户在登录后使用的仍然是被攻击者控制的会话。
为了防止这些攻击，Spring Security提供了一个名为SessionFixationProtectionStrategy的类，可以在用户认证成功后重新创建HttpSession。具体的步骤如下：
- 用户进行身份认证，认证成功后，Spring Security会生成一个新的会话ID。
- Spring Security会将用户的认证信息复制到新的会话中，并将旧的会话无效化。
- 最后，Spring Security会将新的会话ID返回给用户的浏览器，用户继续使用新的会话进行后续操作。
通过重新创建HttpSession，Spring Security可以有效地防止会话劫持和会话固定攻击，提高应用程序的安全性。
在腾讯云的产品中，与Spring Security相关的产品是腾讯云Web应用防火墙（WAF）。腾讯云WAF可以提供全面的Web应用安全防护，包括防止会话劫持和会话固定攻击。您可以通过以下链接了解更多关于腾讯云WAF的信息：腾讯云WAF产品介绍
请注意，以上答案仅供参考，具体的实现方式和产品选择应根据实际需求和情况进行决策。
相关·内容
我可以只使用Spring Session而不使用Spring Security来管理完整的HTTPSession生命周期(创建、更新、销毁和过期)吗？
我问这个问题的原因是，Spring Security声明它提供了“会话自动过期”和“并发会话”功能。难道‘会话自动过期’不是可以在'Spring会话‘中使用的吗？
浏览 0提问于2015-02-13得票数 2
Security的 for SessionCreationPolicy表示IF_REQUIRED属性的以下内容，我认为这是默认的：
只有在需要时，Security才会创建一个HttpSession
这就是它要说的全部。但这意味着什么呢？Spring什么时候确定“需要”一个新会话？
浏览 0提问于2018-06-13得票数 3
1回答
我对此感到困惑。我已经成功地设置了Spring Security (基于角色的访问等)，但我不明白的是，如何向Spring创建的会话中添加内容？或者我应该使用另一个会话来存储DTO属性？如果我使用自己的会话，Spring Security会保护它吗？这对我来说一点也不透明：
<p id="layoutdims">
<strong>
Logged in as <security:authentication property="principal.username" />
</strong&
浏览 3提问于2011-11-17得票数 0
1回答
我正在使用spring security，我想循环遍历所有打开的会话，并使用HttpSession.setMaxInactiveInterval(timeout);更改超时
我考虑过使用SessionRegistry.getAllSessions()，但它只返回SessionInformation实例，而不返回HttpSession对象。
浏览 0提问于2013-12-05得票数 2
我使用Security，在登录时发现了框架的奇怪行为。Security WebAuthenticationDetails有参数sessionId，这是从HTTP获得的，应该都很好，但实际上REST请求给了我另一个会话id。如果我将自动创建HttpSession，然后从它获得会话id，我将得到类似Spring的id。因此，我似乎有一个用户的两个it。这是正确的吗？还是我漏掉了什么？
编辑：
例如，这个类将提供一些会话id。
public class AuthenticationEventListener implements ApplicationListener<AbstractAuth
浏览 6提问于2017-03-07得票数 1
我使用了带有hazelcast和spring-security的spring-session。我正面临一个问题，spring安全无法从httpsession加载安全上下文。在身份验证期间，我可以在以下代码中看到安全上下文被设置为会话：
if (contextChanged(context)|| httpSession.getAttribute(springSecurityContextKey) == null) {
httpSession.setAttribute(springSecurityContextKey, context);
if (logger.isDebugEnable
浏览 2提问于2016-10-21得票数 1
春季安全版本：spring-boot-starter-security:1.3.0.RC1
注意到注释@AuthenticationPrincipal已被废弃。
可能有不同的方式来完成相同的事情，并想知道这是否是在Spring控制器中获取用户信息的正确方法。
@RequestMapping(method = RequestMethod.GET)
public String getIndex(HttpSession session, Device device, Model model, Principal principal) {
/**
* Spring Security
浏览 0提问于2015-11-08得票数 6
回答已采纳
我尝试配置Spring Security，但我有一个问题。
这是我的SessionAuthenticationFilter：
public class SessionAuthenticationFilter extends OncePerRequestFilter {
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
throws ServletExcep
浏览 16提问于2019-07-11得票数 1
回答已采纳
我们为Spring开发了一个CustomAuthenticationProvider(AuthenticationProvider)，它与CustomAuthenticationRequest(Authentication)，CustomAuthentication(Authentication)，a CustomUser一起工作。
一旦我们在调用Controller时验证凭据，就会基于凭据创建一个CustomAuthenticationRequest。
SecurityContext securityContext = SecurityContextHolder.getContext();
浏览 1提问于2018-05-04得票数 0
回答已采纳
我有一段代码
UserDetails userDetails = userDetailsServiceImpl.loadUserByUsername(email);
Authentication authentication = new UsernamePasswordAuthenticationToken(userDetails, userDetails.getPassword(), userDetails.getAuthorities());
SecurityContext securityContext = SecurityContextHolder.getContext();
secu
浏览 0提问于2013-03-19得票数 7
回答已采纳
我们使用Spring security 3.1.2.RELEASE，并且我们需要关闭HttpSession。有没有办法做到这一点？我们尝试使用http元素的create-session="stateless“属性，但没有成功。有没有办法切换会话，或者至少找到会话创建的位置？谢谢
浏览 1提问于2015-01-28得票数 0
尝试将Spring Session (到Redis)与Spring Security (基于数据库)结合起来。身份验证工作正常，如果我添加listener：
import org.springframework.context.ApplicationListener;
import org.springframework.security.authentication.event.InteractiveAuthenticationSuccessEvent;
import org.springframework.security.core.Authentication;
import org.s
浏览 0提问于2018-04-13得票数 0
为了让基本的安全特性起作用，我在pom.xml中添加了以下初学者包
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
并向application.properties添加了以下两个属性：
security.user.name=guest
security.user.passwor
浏览 0提问于2014-05-15得票数 28
回答已采纳
当我尝试集成spring session时，以下测试失败。
class WeChatOAuth2AuthenticationFilterTest extends AbstractWebMvcTest {
@Test
void it_should_redirect_user_to_origin_uri_when_wechat_oauth_is_finished() throws Exception {
String code = "codeToExchangeWeChatUserAccessToken"
String plain
浏览 29提问于2017-06-22得票数 2
我的web应用是用Spring MVC (4.2.9.RELEASE)和Spring Security (3.2.5.RELEASE)构建的。我使用loadUserByUsername方法从数据库中查找用户。
public class MyUserDetailsServiceImpl implements UserDetailsService {
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException, DataA
浏览 0提问于2019-11-22得票数 0
2回答
在向我的应用程序添加了spring安全性之后，它似乎只返回了控制器的根目录。
当我放入一个在“工作”版本中应该返回json的URL时，它会像预期的那样返回json。在我使用spring安全性的版本中，它只返回我的控制器的根。
下面是我的tomcat输出。
DEBUG - Converted URL to lowercase, from: '/service/products/2'; to: '/service/products/2'
DEBUG - Candidate is: '/service/products/2'; pattern is /
浏览 0提问于2013-03-06得票数 0
回答已采纳
1回答
在UI服务中，正确设置身份验证和授权是有问题的。
我现在有以下设置(都利用了Spring.*和Spring。*)：
- Config Service;
- Registry Service;
- Gateway Service (Zuul);
- Authentication Service (Spring Cloud Security, JWT);
- Company backend service (db <-> rest);
- Ui service;
在后端安全性方面，一切都正常工作:您通过网关从身份验证服务请求具有凭据的JWT令牌，如果所有匹配，则通过REST返回。
公司
浏览 2提问于2017-06-19得票数 0
回答已采纳
1回答
在Security中可以关闭HTTP会话超时吗？
从这个中，我看到HTTP超时可以在web.xml中进行如下修改：
<session-config>
<session-timeout>10</session-timeout>
</session-config>
但我没有从Spring安全手册中找到如何禁用超时。
从这个中，我看到Security在内部使用一个javax.servlet.http.HttpSession，根据这个，可以通过调用方法setMaxInactiveInterval(0)将设置为永不过期。
因此，应该可以通过获取Ht
浏览 7提问于2014-08-27得票数 2
回答已采纳
1回答
我使用Spring和JQUERY实现了一个2步的过程，将表单中的数据提交给服务器：
请求在单击文件浏览时将表单中的文件数据提交给服务器。这将将文件存储在文件服务器上，并在数据库中创建一个存储文件信息的条目，模式设置为草案。
当用户单击“表单提交”按钮时，其他表单数据(如“文件标题”等)将提交给服务器。现在，进入数据库的条目应该将模式设置为“完成”。
在步骤1中，我将文件数据设置为会话属性，例如数据库中列的Id、文件名。
/**
* Upload single file using Spring Controller
*/
@RequestMapping(value = &#
浏览 1提问于2014-07-04得票数 0
回答已采纳
我想在连续3次尝试登录我的Web应用程序失败后限制用户。是否可以只使用HttpSession，而不使用任何数据库操作？我正在使用Spring MVC，但我的web应用程序没有使用Spring-Security。如果可能的话，请告诉我怎么走。
浏览 1提问于2014-06-30得票数 0
我正在创建一个web项目，其中我必须使用我自己的身份验证实现(是的，我完全知道不推荐这样做，但我必须这样做……)。现在，我想要在身份验证成功后为登录的用户创建一个新的HttpSession，但是我找不到任何没有Spring Security插件的地方可以做这样的事情。为用户创建一个新的HttpSession背后的魔力是什么？
因此，我想实现的是以下场景
登录页面(用户已经有一个具有会话id的会话) -->用户登录-->如果登录成功，请检查登录凭据并使用新的会话id创建新会话-->为登录的用户使用新会话。
我希望有人能在我真正需要的时候帮助我;)
浏览 0提问于2013-07-22得票数 1
回答已采纳
6回答
我有一个Spring应用程序。它使用自己的自定义登录页面。成功登录后，“LOGGED_IN_USER”对象将放置在HTTPSession中。
我希望只允许通过身份验证的用户访问URL。我知道我可以通过使用网页过滤器来实现这一点。但是，我想使用Security来完成这个部分(我的检查将保持不变--在LOGGED_IN_USER中查找‘HTTPSession’对象，如果您已经登录了)。
我的限制是，目前我无法更改登录行为--这还不能使用Security。
我可以单独使用Security的哪些方面来实现这个部分--检查请求是否经过身份验证(来自登录用户)？
浏览 17提问于2012-09-11得票数 48
回答已采纳
我正在使用Security开发Grails应用程序。我希望在grails应用程序上下文/控制器范围之外使用Security访问当前的loggedIn用户信息。有谁能告诉我，我们如何才能获得关于当前loggedIn用户信息的外部控制器。我想在grails应用程序的资源/服务目录中访问这些信息。
我试过这样做: SecurityContextHolder.getContext().getAuthentication().principal.username；，但我使用grails.anonymous.user获得匿名身份验证
我也尝试了另一种使用httpSession的方法：
HttpSessi
浏览 17提问于2014-10-11得票数 0
3回答
我使用的是spring security 3.0.2。所有应用程序页面都是安全的，因此您必须经过身份验证才能查看它们。
我使用的是https协议。
我有一个奇怪的问题:成功登录并转到请求的页面后，当我试图打开应用程序中其他页面的任何链接时，会话无效或丢失，用户变为匿名并重定向到登录页面。我是从调试中得到的：
No HttpSession currently exists
No SecurityContext was available from the HttpSession: null. A new one will be created.
在多次检查代码之后，代码中没有任何内容会使会话失效
浏览 4提问于2010-05-06得票数 7
2回答
是否可以终止已登录用户的HttpSession？
我们可以在用户会话中执行以下操作：
HttpSession s = request.getSession(false);
s.invalidate(); // make sure s != null
但是，管理员用户如何“踢出”一个给定的用户呢？
我希望在ServletContext下找到一些可以返回活动会话列表的应用程序接口，但事实似乎并非如此。
我使用的是Spring Security 3& Tomcat 7。
浏览 1提问于2012-09-05得票数 2
回答已采纳
我得到了自定义登录表单和自定义UserDetailsService的spring安全4。问题是，每次我向j_spring_security_check提交时，它都会重定向回登录页面。感觉就像是在处理容器中的另一个资源j_spring_security_check。
下面是我的配置。我遗漏了什么吗？
application-security.xml
<security:http auto-config="true" use-expressions="true">
<security:intercept-url pattern="/
浏览 2提问于2015-07-25得票数 3
回答已采纳
我正在尝试让自定义登录表单与Spring Security3.0一起工作。
默认登录表单与下面的安全配置配合使用。然后，我添加了form-login属性，创建了登录控制器和jsp页面来处理/accounts/logIn URL，现在遇到了这个问题:当我输入来宾/来宾凭证时，我会被送回login页面。
我在帐户日志中注意到的一件事是，成功的检查查看的是帐户，而不成功的检查查看的是/ catalina.out /j_ /j_security_check _ check。
下面是我的security-config.xml：
<http auto-config="true" us
浏览 2提问于2010-08-11得票数 3
我需要使用cookie而不是带有spring security的httpsession。有谁知道这是可能的吗？如果是这样的话，请给我一些资源。
我想要做的就是让web应用程序变得无状态。
谢谢Rosh
浏览 0提问于2011-05-06得票数 1
在实现应用程序登录时，我想使用spring安全来设置谁登录，但是如何设置呢？我的UserLogin喜欢这个。
新的userDetails.loadUserByUsername(u.getAccount())；身份验证= UserDetails usDetails UsernamePasswordAuthenticationToken(
usDetails, usDetails.getPassword(), usDetails.getAuthorities());
SecurityContextHolder.getContext().setAuthentication(auth
浏览 0提问于2015-04-08得票数 0
在使用带有Spring boot的嵌入式tomcat时，我遇到了HttpSession问题。场景如下:我用spring boot启动tomcat，同时支持http和https。我的应用程序使用spring security saml来支持SAML登录。在调试过程中，我发现saml/login & saml/sso无法获得相同的http会话。但是如果tomcat只支持http或https，那么http会话也是一样的。请帮帮忙。 谢谢
浏览 22提问于2019-04-13得票数 0
2回答
我的目标是保护我的Spring2.5MVC控制器中仅供特定用户访问的一些方法，例如，管理者可以访问所有方法，但查看器可以访问其中的一小部分。尽管我必须访问session对象才能知道当前登录的用户是否是经理。我有一个方法可以解决这个问题。
public boolean isManager(HttpSession session){
//Dome some check
}
我想要保护的控制器方法将如下所示
@RequestMapping(value = "/getInfo", method = RequestMethod.GET)
public ModelAndView
浏览 0提问于2013-06-18得票数 2
回答已采纳
我知道Spring Security的HttpSessionSecurityContextRepository使用了HttpSession。
此外，我还读到PaaS (如CloudFoundry )为了实现可伸缩性而试图避免会话复制。
我打算将一个应用程序部署到CloudFoundry PaaS。
在CF上使用HttpSessionSecurityContextRepository 存在问题吗？
浏览 4提问于2013-09-05得票数 4
回答已采纳
我已经创建了自己的UserDetailsService和UserDetails实现，并将其连接起来。我可以创建用户，并以用户身份登录。但是，如果我登录，注销，然后再次登录，我将得到一个重定向到超时错误页面。这是因为我正在阻止并发登录，但它不起作用--它过去常常使用"hello world“的示例，但现在在我自己的实现中，由于某种原因，该部分已经停止工作。Spring基本上认为当我登录、注销和再次登录时有两个会话。
现在-我认为这一切都是自动处理的，....perhaps使用您自己的UserDetailsService，这意味着您实际上也必须在其他地方实现会话管理？我有点不知所措，这在文
浏览 4提问于2014-04-09得票数 1
回答已采纳
对不起，重复一下，我看到了很多关于这个话题的问题，但是没有人能帮我。当我把正确的登录数据在登录表单中时，所有工作。当我在登录表单中放置不正确的登录数据时，将重定向到'loginProcessingUrl()‘is’/sign‘，但在控制器中没有用于/登录处理程序映射的后端点，因为这个端点必须通过spring安全性来处理。但我有405。这是我的代码：
SecurityConfig.java
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
浏览 1提问于2020-04-28得票数 1
回答已采纳
我正在尝试创建一个android应用程序来处理我的数据库。
例如:我在端口8080上运行我的grails应用程序，localhost:8080，然后我使用POSTMAN并像这样传递参数。
像这样成功..。
但是为什么我不能登录我的android应用程序。
像这样..。
public static String performPostCall(String requestURL,
HashMap<String, String> postDataParams) {
Log.d("url = ",requestURL);
浏览 6提问于2016-10-27得票数 0
回答已采纳
我有一个使用stomp的简单web套接字应用程序。当用户访问一个页面时，它会自动建立到服务器的stomp连接。用户通过spring security进行身份验证。当用户关闭浏览器时，我希望用户自动注销。为此，我创建了一个监听程序来监听SessionDisconnectEvent。问题是我没有与websocket会话相关联的httpSession的句柄？是否希望从websocket会话中获取httpsession？
下面是我的代码：
<websocket:message-broker application-destination-prefix="/test">
浏览 0提问于2014-11-25得票数 6
对于我的项目，我试图做一个简单的服务，可以做张贴，获取和删除请求。我对CSRF添加的额外安全层不感兴趣，所以我希望关闭它。我知道在默认情况下它应该关闭，但它似乎没有行为。每次我发出post请求时，它都会给出以下输出：
/users/insert at position 1 of 15 in additional filter chain; firing Filter: 'WebAsyncManagerIntegrationFilter'
o.s.security.web.FilterChainProxy : /users/insert at position 2
浏览 5提问于2020-07-08得票数 1
回答已采纳
我在应用spring oauth2客户端时遇到了一个问题。
我发现org.springframework.security.oauth2.client.web.OAuth2AuthorizationRequestRedirectFilter想要创建一个OAuth2AuthorizationRequest并通过authorizationRequestRepository临时存储它。
相关代码：
// OAuth2AuthorizationRequestRedirectFilter.class
protected void doFilterInternal(HttpServletRequest r
浏览 1提问于2019-06-02得票数 5
我们正在开发一个web应用程序，我们使用Spring MVC (以及Spring Boot和Spring Security)和AngularJS。因此，我们为应用程序运行了两个不同的服务器。
我们试图存储用户会话后端，以确保适当级别的安全性，因此我们尝试使用HttpSession对象，但是每次我们想检索现有会话时，都会创建一个新实例(我们已经检查了会话ids)。
以下是我们要登录的内容：
$scope.authenticate = function () {
var postObject = new Object();
postObject.mail = $scope.userNam
浏览 3提问于2016-06-01得票数 1
回答已采纳
我正在使用Spring开发Spring应用程序。我正在使用角JS客户端使用Spring。
我使用的堆栈是：
Spring Boot 1.4.2 , Spring Security , Angular JS , Tomcat 8
我的问题是：
1)在登录时，用户获得了成功的身份验证。自定义身份验证成功处理程序返回200个状态代码。
2)身份验证成功后，当clint发送另一个请求访问procted资源时，HttpSession为NULL
3)由于SecurityContextPersistenceFilter试图从HttpSession检索SecurityContext，因此返回为null，服务
浏览 5提问于2017-04-16得票数 0
我正在尝试设置一个Spring，以便与ADFS Server连接，从而完成Web。
SAML请求工作正常，但是当我收到来自ADFS的响应时，我有一个由身份验证问题引起的重定向循环。
似乎在我成功地将UserDetails存储在会话中之后，下一个请求找不到可用的HttpSession，因此创建了一个匿名令牌。
我正在使用非常棒的SAML扩展库()，并且为了构建UserDetails，我已经实现了SAMLUserDetailsService。
在第二个类似于此的WebApp中，一切工作正常。
下面是我的日志：
(SAMLDefaultLogger.java:127) - AuthNResponse
浏览 20提问于2017-07-25得票数 2
我可以在spring bean xml配置文件中配置HttpSession吗？我必须创建HttpSession进程，这样我就可以在任何地方使用所有会话对象。
有没有办法把对象放在带有xml配置文件的HttpSession下？
浏览 2提问于2013-03-05得票数 0
1回答
我创建了一个OAuth2.0服务器和一个使用Spring的客户端。这是我在 上的项目。
，但我无法从oauth服务器.获得令牌
服务器日志：
org.springframework.security.access.AccessDeniedException: Access is denied
at org.springframework.security.access.vote.AffirmativeBased.decide(AffirmativeBased.java:83) ~[spring-security-core-4.0.3.RELEASE.jar:4.0.3.RELEASE]
at
浏览 4提问于2016-03-17得票数 1
回答已采纳
我在Grails应用程序中成功使用Spring Security时遇到了问题。我安装了spring-security-core插件，然后运行命令执行初始设置：
s2-quickstart my.package ReUser ReRole
其中ReUser和ReRole分别是我的用户和角色域类。然后，我继续按照Peter Ledbrook的简化Spring Security屏幕中的设置说明进行操作，但当我实际尝试运行应用程序并验证用户身份时，我遇到了麻烦。我在Bootstrap中创建的用户名永远无法识别(使用BadCredentialsException)，如果我从未存储这些User、Role和
浏览 0提问于2012-02-01得票数 0
回答已采纳
1回答
在Tomcat 7上部署我的Spring应用程序时，我已经获得了数百条日志。
...
13:08:23.361 [http-apr-8080-exec-4] DEBUG o.s.b.f.s.DefaultListableBeanFactory - Returning cached instance of singleton bean 'metaDataSourceAdvisor'
13:08:23.375 [http-apr-8080-exec-4] DEBUG o.s.b.f.s.DefaultListableBeanFactory - Finished creating i
浏览 2提问于2016-01-21得票数 2
在Spring-Security5.7.0中不推荐使用WebSecurityConfigurerAdapter，我们正在尝试迁移到配置securityFilterChain的新方法，但在这样做时，我注意到在spring调试日志中没有调用SecurityContextPersistenceFilter。因此，当使用requestPostProcessor测试控制器时，当请求被验证时，requestPostProcessor中的身份验证集不会应用到HttpSession。
日志发布版本升级
[main] DEBUG org.springframework.security.web.context.
浏览 15提问于2022-07-08得票数 0
我在看这个博客：Use React and Spring Boot to Build a Simple CRUD App来构建一个webapp (基于REST)，其中的UI将是React，我们将使用OKTA进行身份验证和授权。后端将在Spring Boot套件中。在查看该博客时，我发现它使用httpSession来设置属性，如下所示： request.getSession().setAttribute("SPRING_SECURITY_SAVED_REQUEST", new SimpleSavedRequest(referrer)); 我的问题是:如果我们使用webapp的多
浏览 12提问于2020-09-20得票数 0
回答已采纳
我正在尝试使用SpringSecurity3.1，但在身份验证之后，我的HttpSession正在丢失。在创建了正确的HttpSession之后，我得到了“当前不存在的HttpSession”。
我得到了以下日志：
08 janv. 2014 19:53:59 DEBUG HttpSessionSecurityContextRepository - SecurityContext stored to HttpSession: 'org.springframework.security.core.context.SecurityContextImpl@bce8a84f: Authenti
浏览 0提问于2014-01-09得票数 0
回答已采纳
我有一个jersey (rest) spring应用程序，它使用了spring-security和数据库登录。我让它重定向到登录页面，一旦我输入了有效的用户名和密码，它就会重定向到登录页面。
是否有其他代码需要我编写和/或我的配置不正确。
谢谢!
spring-security.xml
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans"
xmlns
浏览 0提问于2012-05-03得票数 2
回答已采纳
我已经成功地配置了一个具有Security和持久RememberMe功能的Spring应用程序。但是，以下步骤在Safari 7.1.2中产生错误：
使用“记住我”登录(确认了在数据库中创建令牌)。
从浏览器中手动删除JSESSIONID以模拟会话到期。
刷新浏览器
由此产生的错误是：
org.springframework.security.web.authentication.rememberme.CookieTheftException:无效的记住-我令牌(系列/令牌)不匹配。意味着之前的饼干盗窃攻击。
在FireFox 31.3.0中执行这些完全相同的步骤，
浏览 3提问于2015-01-27得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
腾讯会议活动推荐
腾讯云开发者
