java - 您可以在不使其无状态的情况下将 Spring Security 与 REST 服务一起使用吗？

Question

根据文档， https://docs.spring.io/spring-security/site/docs/3.0.x/reference/technical-overview.html .我计划在我的 Web 应用程序中使用 Spring Security 来调用一些 REST Web 服务，是否有必要将 SessionCreationPloicy 设置为 STATELESS 作为这个例子， https://github.com/spring-projects/spring-boot/issues/2755 .Spring Security 在请求之间存储 SecurityContext(Session)，但我们知道 REST 是无状态的，不使用 HTTP session 。

将 Spring Security 与调用 REST web 服务但未将其设置为无状态的应用程序一起使用会出现什么问题？

Answer 1

为了性能/可扩展性，REST 服务应该设置为无状态。如果不将安全链设置为无状态，Spring Security 和 servlet 容器可能会创建一个 session 。如果客户端在下一个请求中不使用此 session ，则会创建另一个 session 。第三个请求第三个 session ，依此类推。服务器将跟踪 session 直到超时(约 30 分钟)。如果有很多请求，这可能/将成为服务器的负担。

我见过没有设置无状态的示例，它们适用于低流量或重用 session ，但出于上述原因，我建议将 REST 服务显式设置为无状态。

另一个问题可能是 REST 通常禁用 CSRF 保护。通过允许创建 session ，系统可能容易受到 CSRF 攻击。