将Auth Token发送回客户端弹簧安全性

Question

我对Springs完全不熟悉并且已经获得了一个spring web项目来分析在那里实现的身份验证代码。我已经理解了大部分内容但却停留在一个地方。 该项目有一个自定义过滤器，通过我们的自定义提供程序进行身份验证，然后在SecurityContextHolder.getContext（）中设置此值.set ... 客户端使用相同的令牌进行进一步的请求。 但我无法看到这个值如何被传递回客户端。 任何人都可以告诉我它是如何完成的。 Spring类的内部实现是否在HttpServletResponse中发送，如果是，那么如何设置头文件或cookie等...

Answer 1

令牌不会发送回客户端。它是存储在服务器会话中的服务器工件。客户端和服务器之间唯一的标记是标准JSESSIONID cookie，它将用户链接到包含服务器端认证对象的会话。