Spring安全性：当用户未经过身份验证时，会话无效

Question

每当我运行我的Web应用程序并进入默认页面时，我都会在我的权限内找到ROLE_ANONYMOUS用户。但是，当我空闲时，会话超时会导致我的invalid-session-url被触发。无论如何要从会话超时中排除未经身份验证的用户？

编辑：我找到的最简单方法是设置InvalidSessionStrategy。问题是，我不知道该怎么做。我真的不需要创建自己的SessionManagementFilter实现。我想要的是控制应用程序将如何处理invalid-session-url。任何人都可以帮助我吗？

Answer 1

即使对于未经身份验证的用户，也可以使用会话。以重定向之前检查身份验证的方式实现invalid-session-url。如果用户未经过身份验证，请重定向到session-idle-timeout页面。