spring - Spring Security：session.invalidate() vs invalidate-session="true"

Question

两者有什么区别？我不太确定，但我相信 HttpServletReqest.getSession.invalidate() 只会使用户的会话无效，而 invalidate-session="true" 会使会话无效并将用户重定向到定义的会话过期页面。如果我错了，请纠正我，我想更多地理解这一点。谢谢。

Answer 1

invalidate-session是<logout>元素的一个属性，会导致会话在注销时失效（这是默认行为），但不会导致任何重定向本身。

如果请求包含无效/过期的会话 ID，则会显示会话过期页面，在这种情况下，SessionManagementFilter会将其重定向到预先配置的 URL，您可以通过<session-management invalid-session-url="...">配置进行设置。如果未设置任何内容，则不会发生重定向。

HttpServletReqest.getSession.invalidate()正如您所说，只是使会话无效。