35、Spring Security：用户认证、授权与会话管理全解析

Spring Security：用户认证、授权与会话管理全解析

1. 用户认证与记住我机制

1.1 记住我机制配置

若要使用持久化令牌机制配置记住我功能，需将 javax.sql.DataSource 注入到 RememberMeAuthenticationFilter 中。可通过 <security:remember-me> 元素的 data-source-ref 属性实现：

<security:http>
    <security:remember-me data-source-ref="dataSource"/>
</security:http>

每次请求时，持久化令牌都会改变。这意味着，若攻击者窃取了记住我 cookie，而用户紧接着发起新请求，被盗用的令牌会过期失效，攻击者无法利用。

1.2 用户会话管理

Spring Security 为 Web 应用提供了两种会话管理功能：
- 防止会话固定攻击 ：恶意用户可能会创建一个 HttpSession ，获取会话 ID 后，将包含该 ID 的 URL 发送给合法用户。当合法用户使用该 URL 登录时，恶意用户可通过该 HttpSession 访问系统。为防止此类攻击，Web 应用应在登录后创建新的