本文深入探讨了Spring Security中使用`InMemoryUserDetailsManager`进行基本认证时，因默认会话管理策略导致的“首次认证后接受任意密码”问题。通过分析Spring Security的会话机制，明确了问题的根源在于认证信息被存储在HTTP会话中。核心解决方案是配置`SessionCreationPolicy.STATELESS`，以禁用会话创建和存储，确保每次请求都进行完整认证，从而实现预期的安全行为。
在使用Spring Security进行认证时，尤其是在配置了基于内存的用户存储（如InMemoryUserDetailsManager）和HTTP Basic认证的场景下，开发者可能会遇到一个令人困惑的现象：在用户首次成功认证后，即使后续请求携带了错误的密码，系统似乎仍然接受并允许访问。这并非Spring Security的缺陷，而是其默认会话管理策略的体现。
Spring Security在设计之初，考虑了传统Web应用对有状态会话的需求。当用户通过HTTP Basic认证成功后，Spring Security会默认创建一个HttpSession，并将认证成功的Authentication对象存储在SecurityContextHolder中。此SecurityContextHolder通常与当前线程绑定，并且其内容可以在后续请求中从会话中加载。这意味着，一旦一个会话被建立且认证成功，后续来自同一会话的请求将不再需要重新进行用户名密码验证，而是直接从会话中获取认证信息。
因此，当出现“首次认证后接受任意密码”的现象时，实际情况是：
要解决上述问题，并确保每次请求都严格按照提供的凭据进行认证，最直接且推荐的方法是配置Spring Security使用无状态（Stateless）会话管理策略。通过将SessionCreationPolicy设置为STATELESS，可以明确指示Spring Security不创建或使用HTTP会话来存储认证信息。
当SessionCreationPolicy.STATELESS被激活时，Spring Security的行为会发生根本性改变：
这对于RESTful API、微服务架构或任何希望实现无状态通信的场景至关重要，因为它允许客户端完全控制认证凭据的发送，并使得服务端不保留任何客户端状态。
为了在Spring Security中实现无状态会话管理，您需要在WebSecurityConfig类的configure(HttpSecurity http)方法中添加一行配置。
以下是修改后的Spring Security配置示例：
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import java.util.ArrayList;
import java.util.List;
@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf()
.disable() // 禁用CSRF保护，对于无状态API通常是安全的
.authorizeRequests()
.anyRequest()
.authenticated() // 所有请求都需要认证
.and()
.httpBasic() // 启用HTTP Basic认证
.and()
.sessionManagement() // 配置会话管理
.sessionCreationPolicy(SessionCreationPolicy.STATELESS); // 设置为无状态会话策略
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(inMemoryUserDetailsManager());
}
@Bean
public InMemoryUserDetailsManager inMemoryUserDetailsManager() {
List<UserDetails> userDetailsList = new ArrayList<>();
// 确保密码经过编码
userDetailsList.add(User.withUsername("myUser").password(passwordEncoder().encode("password"))
.roles("USER").build());
return new InMemoryUserDetailsManager(userDetailsList);
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder(); // 使用BCryptPasswordEncoder进行密码编码
}
}在上述代码中，关键的改变是添加了以下链式调用：
.sessionManagement() .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
这行配置指示Spring Security在处理请求时，不创建或使用任何HTTP会话。因此，每次请求都会被视为一个独立的认证尝试。如果客户端在后续请求中发送了错误的密码，即使用户名正确，认证也将失败并返回401 Unauthorized响应，这符合我们对安全行为的预期。
通过理解Spring Security默认的会话管理机制，并根据应用程序的需求选择合适的SessionCreationPolicy，可以有效解决认证行为中的潜在混淆。对于要求每次请求独立认证的场景，尤其是RESTful API和基于令牌的认证，将SessionCreationPolicy设置为STATELESS是确保安全性和预期行为的关键。这不仅能够防止因会话缓存导致的错误密码被接受的问题，还能简化服务器端的状态管理，提升系统的可伸缩性。
以上就是Spring Security In-Memory 认证与无状态会话管理实践的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
941
收藏
