Spring Security 是否需要使用 Spring Session？答案

【问题标题】：Does Spring Security require the use of Spring Session?Spring Security 是否需要使用 Spring Session？
【发布时间】：2018-01-26 12:55:33
【问题描述】：

我们希望在 memcached 中外部化我们的会话，但由于特定于我们架构的各种原因，Spring Session 对我们来说不是一个好的选择。但是，我们确实希望利用 Spring Security 来保护应用程序。

Spring Security 中是否有任何与安全相关的功能需要 Spring Session？诸如并发会话控制或 CSRF 保护之类的功能被认为是可能需要 Spring Session 的功能。或者，根本不需要 Spring Session？

【问题讨论】：

【解决方案1】：

否，Spring Security 不依赖于 Spring Session 库。我在几个项目中使用过 Spring Security，从未见过 Spring Session 的需求。

默认情况下，Spring Security 在 Servlet API 中使用标准 HttpSession。该框架是高度可定制的，所以我会说，在没有对其进行测试的情况下，即使是该部分也可以切换为一些存储状态的自定义代码。

【讨论】：