如何在Spring Security中从会话管理(超时/并发检查)中排除某些页

原始答案：

添加<％@ page session =“false”％>在JSP文件的顶部应该阻止会话启动但这与Spring Security无关.

下面的URL中有一些非常小的Oracle文档说：

JSP Default Session Requests

Generally speaking,servlets do not request an HTTP session by
default. However,JSP page implementation classes do request an HTTP
session by default. You can override this by setting the session
parameter to false in a JSP page directive,as follows:

<%@ page … session=”false” %

https://docs.oracle.com/cd/A87860_01/doc/java.817/a83726/basics3.htm#1007356

更新的答案：问题可能与启用CSRF的Spring Security有关.它在4.0版中默认启用,这是一件好事,而不是你想要禁用的东西.在早期版本中,可能需要手动操作.

CRSF令牌需要一个会话,因此您需要一个解决方案来仅在登录过程中排除CSRF测试.

Spring Security Reference中讨论了“Relaxing CSRF”.他们特别提到了SockJS,但原则是普遍的.他们建议类似下面的JavaConfig行：

http.csrf().ignoringAntMatchers("/login")

接受的answer by P.Peter for the SO question “CSRF token expires during login”有一个类似的解决方案,需要更多的努力.

你需要添加一个实现Spring的RequestMatcher类的类并覆盖它的matches()方法：

class CsrfSecurityRequestMatcher implements RequestMatcher {
    @Override
    public boolean matches(HttpServletRequest request) {
        return !request.getServletPath().equals("/login");
    }
}

如果您需要更复杂的匹配逻辑,可以在自定义RequestMatcher类中添加Pattern和RegexRequestMatcher字段,并在matches()方法中使用它们.

然后,您需要在Spring Security配置中添加对新类的引用.在XML中它将是这样的：

http.csrf().requireCsrfProtectionMatcher(new CsrfSecurityRequestMatcher());