spring - Spring セキュリティ: session.invalidate() vs invalidate-session="true"

Question

2つの違いは何ですか？よくわかりませんが、HttpServletReqest.getSession.invalidate() がユーザーのセッションを無効にするのは、invalidate-session="true" がセッションを無効にし、定義されたセッション期限切れのページにユーザーをリダイレクトするときだけだと思います。私が間違っている場合は修正してください。これをもっと理解したいと思います。ありがとう。

Answer 1

invalidate-session要素の属性であり、<logout>ログアウト時にセッションが無効になります (これがデフォルトの動作です) が、リダイレクト自体は発生しません。

リクエストに無効または期限切れのセッション ID が含まれている場合、セッション期限切れのページが表示されます。この場合、 はSessionManagementFilterそれを事前設定された URL にリダイレクトします。この URL は、設定で<session-management invalid-session-url="...">設定できます。何も設定されていない場合、リダイレクトは行われません。

HttpServletReqest.getSession.invalidate()あなたが言ったように、単にセッションを無効にします。