结合令牌和会话认证（Spring Security，REST API）

Question

我想，我在REST API上开发的Spring可以通过移动设备和浏览器使用。

对于移动，我在 Spring配置中使用了基于令牌的身份验证：

  http
     .anonymous().and()
     .servletApi().and()
     .headers().cacheControl().and()
     .csrf().disable()
     .authorizeRequests()
     .antMatchers("/auth/**").permitAll()
     .antMatchers("/**").authenticated()
     .anyRequest().permitAll()
     .and()
     .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)

对于浏览器版本，我使用了会话基本身份验证 Spring配置：

http
    .authorizeRequests()
    .anyRequest().authenticated()
    .and()
    .formLogin().loginPage("/login").permitAll()
    .defaultSuccessUrl("/", false)
    .and()
    .logout().addLogoutHandler(new CookieClearingLogoutHandler())
    .invalidateHttpSession(true)
    .logoutUrl("/logout")
    .logoutSuccessUrl("/login?logout").permitAll()
    .and()
    .sessionManagement().sessionAuthenticationStrategy(sessionAuthenticationStrategy())
    .maximumSessions(1)

这两种配置分别完美 问题：如何组合2个配置，我的REST API可以被浏览器和移动设备使用？