spring-security 不会使 http session 失效

Question

我有一个 soap 网络服务，我实现了 spring 安全认证。

我生成了一个在前端使用的客户端。

我的问题是，每次客户端发出请求时，网络服务都会生成一个 session ，而 session 只是停留在那里， session 永远不会失效。

这是我的 web.xml 文件的一部分:

<session-config>
<session-timeout>1</session-timeout>
</session-config>

我需要的是 session 应该在每次请求后失效。

Answer 1

Spring security http 元素有一个属性“create-session”，可以将其设置为“stateless”，之后将永远不会创建 session 。

例如

<http pattern="/restful/**" create-session="stateless">
  <intercept-url pattern='/**' access='ROLE_REMOTE' />
  <http-basic />
</http>

文档在这里:

• http://static.springsource.org/spring-security/site/docs/3.2.x/reference/security-filter-chain.html