spring - 将身份验证令牌发送回客户端弹簧安全性

Question

我对 Springs 完全陌生，并且已经获得了一个 Spring Web 项目来分析在那里实现的身份验证代码。我已经理解了大部分内容，但停留在一个地方。该项目有一个自定义过滤器，它通过我们的自定义提供程序进行身份验证，然后在 SecurityContextHolder.getContext().set 中设置此值...客户端使用相同的令牌进行进一步的请求。但我无法在任何地方看到这个值是如何存在的传回给客户。谁能告诉我它是怎么做的。spring 类的内部实现是否在 HttpServletResponse 中发送这个，如果是，那么如何通过设置标题或 cookie 等...

Answer 1

令牌不会发送回客户端。它是存储在服务器会话中的服务器工件。客户端和服务器之间的唯一标记是标准JSESSIONIDcookie，它将用户链接到包含服务器端身份验证对象的会话。