跳到主要内容
版本：4.1.1

通用配置

Doubao 中英对照 Common Configurations

本节包含适用于全部或大多数 Spring Session 模块的通用配置。它包含以下用例的配置示例：

更改会话 ID 的生成方式​

默认情况下，Spring Session 使用 UuidSessionIdGenerator，而它又使用 java.util.UUID 来生成会话 ID。在某些场景下，可能更适合加入其他字符以增加熵，或者你可能希望使用不同的算法来生成会话 ID。要更改这一点，你可以提供一个自定义的 SessionIdGenerator bean：

@Bean
public SessionIdGenerator sessionIdGenerator() {
    return new MySessionIdGenerator();
}

class MySessionIdGenerator implements SessionIdGenerator {

    @Override
    public String generate() {
        // ...
    }

}

暴露你的 SessionIdGenerator bean 后，Spring Session 将使用它来生成会话 ID。

如果你手动配置 SessionRepository bean（例如不使用 @EnableRedisHttpSession），你可以直接在 SessionRepository 实现上设置 SessionIdGenerator：

@Bean
public RedisSessionRepository redisSessionRepository(RedisOperations redisOperations) {
    RedisSessionRepository repository = new RedisSessionRepository(redisOperations)
    repository.setSessionIdGenerator(new MySessionIdGenerator());
    return repository;
}

设置好 Spring Session 后，你可以通过将 CookieSerializer 暴露为 Spring bean 来自定义会话 cookie 的写入方式。Spring Session 自带 DefaultCookieSerializer。当你使用 @EnableRedisHttpSession 等配置时，将 DefaultCookieSerializer 暴露为 Spring bean 会增强现有配置。以下示例展示了如何自定义 Spring Session 的 cookie：

@Bean
	public CookieSerializer cookieSerializer() {
		DefaultCookieSerializer serializer = new DefaultCookieSerializer();
		serializer.setCookieName("JSESSIONID"); 1
		serializer.setCookiePath("/"); 2
		serializer.setDomainNamePattern("^.+?\\.(\\w+\\.[a-z]+)$"); 3
		return serializer;
	}

  • 我们将 cookie 的名称自定义为 JSESSIONID。

  • 我们将 cookie 的路径自定义为 /（而不是上下文根的默认值）。

  • 我们将域名称模式（一个正则表达式）自定义为 ^.?\\.(\\w\\.[a-z]+)$。这允许跨域和跨应用共享会话。如果正则表达式不匹配，则不设置域，并使用现有域。如果正则表达式匹配，则使用第一个分组作为域。这意味着，对 child.example.com 的请求会将域设置为 example.com。但是，对 localhost:8080/ 或 192.168.1.100:8080/ 的请求会使 cookie 保持未设置状态，因此在开发时无需任何生产环境所需的更改即可正常工作。

注意

你只应在有效的域名字符上进行匹配，因为域名会反映在响应中。这样做可以防止恶意用户执行诸如 HTTP 响应拆分 之类的攻击。

可使用以下配置选项：

  • cookieName：要使用的 cookie 的名称。默认值：SESSION。
  • useSecureCookie：指定是否应使用安全 cookie。默认值：创建时使用 HttpServletRequest.isSecure() 的值。
  • cookiePath：cookie 的路径。默认值：上下文根。
  • cookieMaxAge：指定创建会话时要设置的 cookie 最大年龄。默认值：-1，表示浏览器关闭时应移除该 cookie。
  • jvmRoute：指定要追加到会话 ID 并包含在 cookie 中的后缀。用于标识要路由到哪个 JVM 以实现会话亲和。对于某些实现（即 Redis），此选项不提供性能优势。但是，它有助于跟踪特定用户的日志。
  • domainName：允许指定要用于 cookie 的特定域名。此选项简单易懂，但通常需要在开发和生产环境之间采用不同的配置。请参阅 domainNamePattern 作为替代方案。
  • domainNamePattern：一个不区分大小写的模式，用于从 HttpServletRequest#getServerName() 中提取域名。该模式应提供一个分组，用于提取 cookie 域的值。如果正则表达式不匹配，则不设置域，并使用现有域。如果正则表达式匹配，则使用第一个分组作为域。
  • sameSite：SameSite cookie 指令的值。要禁用 SameSite cookie 指令的序列化，你可以将此值设置为 null。默认值：Lax
  • rememberMeRequestAttribute：指示 remember-me 登录的请求属性名称。如果指定，cookie 将被写为 Integer.MAX_VALUE。
备注

如果你正在使用 SpringSessionRememberMeServices，并且声明了自定义的 DefaultCookieSerializer bean，你应设置 rememberMeRequestAttribute 字段，以确保 Spring Session 依赖会话过期而非 cookie 过期。为此，你可以使用以下代码片段：defaultCookieSerializer.setRememberMeRequestAttribute(SpringSessionRememberMeServices.REMEMBER_ME_LOGIN_ATTR);

你可以通过将 WebSessionIdResolver 暴露为 Spring bean，来自定义 WebFlux 应用程序中会话 cookie 的写入方式。Spring Session 默认使用 CookieWebSessionIdResolver。以下示例展示了如何自定义 Spring Session 的 cookie：

@Bean
	public WebSessionIdResolver webSessionIdResolver() {
		CookieWebSessionIdResolver resolver = new CookieWebSessionIdResolver();
		resolver.setCookieName("JSESSIONID"); 1
		resolver.addCookieInitializer((builder) -> builder.path("/")); 2
		resolver.addCookieInitializer((builder) -> builder.sameSite("Strict")); 3
		return resolver;
	}

  • 我们将 cookie 的名称自定义为 JSESSIONID。

  • 我们将 cookie 的路径自定义为 /（而不是上下文根的默认值）。

  • 我们将 SameSite cookie 指令自定义为 Strict。

提供 ReactiveSessionRegistry 的 Spring Session 实现​

Spring Session 提供与 Spring Security 的集成以支持其响应式并发会话控制。这可以限制单个用户可以同时拥有的活动会话数量，但与 Spring Security 的默认支持不同，它在集群环境中也能工作。这是通过提供 Spring Security ReactiveSessionRegistry 接口的 SpringSessionBackedReactiveSessionRegistry 实现来完成的。

@Bean
public <S extends Session> SpringSessionBackedReactiveSessionRegistry<S> sessionRegistry(
        ReactiveSessionRepository<S> sessionRepository,
        ReactiveFindByIndexNameSessionRepository<S> indexedSessionRepository) {
    return new SpringSessionBackedReactiveSessionRegistry<>(sessionRepository, indexedSessionRepository);
}

请参阅 Spring Security 并发会话控制文档，了解使用 ReactiveSessionRegistry 的更多方式。你也可以在此处查看一个示例应用程序。