Spring Security是否需要使用Spring Session？

Question

我们希望在memcached中外化我们的会话，但由于我们的架构特有的各种原因，Spring Session对我们来说不是一个好的选择。但是，我们希望利用Spring Security来保护应用程序。

Spring Security REQUIRE Spring Session中是否有任何与安全相关的功能？像Concurrent Session Control或CSRF保护这样的功能会成为可能需要Spring Session的功能。或者，是否根本不需要Spring Session？

Answer 1

否，Spring Security不依赖于 Spring Session 库。我在几个项目中使用过Spring Security，从未见过Spring Session的要求。

默认情况下，Spring Security使用Servlet API中的标准HttpSession。该框架是高度可定制的，所以我会说，没有经过测试，即使是那部分也可以换成一些存储状态的自定义代码。