在构建安全的 Web 应用时，会话管理是重中之重。Session Fixation（会话固定攻击）是一种常见但容易被忽视的安全威胁。本文将带你从原理到实践，深入理解 Spring Security、Spring Authorization Server 和 Spring Session 如何协同工作，构建坚不可摧的会话防护体系。无论你是 Java 开发者，还是对 C++、Python、JavaScript、TypeScript、Go 等语言的会话安全感兴趣，本文的核心思想都具有普适价值。
一、什么是 Session Fixation？攻击原理与危害
Session Fixation（会话固定攻击）是一种利用服务器会话管理漏洞的攻击方式。攻击者首先从服务器获取一个合法的 Session ID（例如通过访问登录页面），然后诱导受害者使用这个固定的 Session ID 进行登录。一旦受害者登录成功，攻击者就可以利用这个已知的 Session ID 冒充受害者，获取其所有权限。
攻击流程示例：
- 攻击者访问目标网站，获取一个未认证的 Session ID（例如
SESSIONID=ABC123）。 - 攻击者通过钓鱼链接、XSS 注入等方式，诱使受害者浏览器使用这个 Session ID 访问登录页面。
- 受害者正常输入账号密码登录，服务器将
SESSIONID=ABC123标记为已认证。 - 攻击者使用相同的 Session ID 发起请求，服务器认为请求来自已认证的用户，攻击成功。
⚠️ 危害： 攻击者可以完全接管受害者的账户，执行任意操作，如查看隐私数据、修改资料、发起交易等。对于 OAuth2 授权服务器，攻击者甚至可能窃取授权码或访问令牌，造成更大的安全风险。
为了防止这种攻击，安全框架必须在用户认证成功后，立即更换 Session ID，确保认证前后的会话完全隔离。这是 Spring Security 等现代安全框架的默认行为。
二、Spring Security 的 Session Fixation 防护机制
Spring Security 从设计之初就考虑到了 Session Fixation 防护，它提供了一套灵活且强大的策略，开发者只需简单配置即可启用。
2.1 核心策略解析
Spring Security 支持以下几种 Session Fixation 防护策略，通过 SessionManagementConfigurer.sessionFixation()
changeSessionId（默认）：这是最推荐的策略。它直接调用 Servlet 3.1+ 的changeSessionId()migrateSession：认证成功后，生成全新的 Session ID，并手动将原 Session 的所有属性迁移到新 Session。在 Spring Security 5+ 中，其实现逻辑与changeSessionIdchangeSessionId()newSession：认证成功后，直接销毁原有 Session，创建一个全新的空 Session。原 Session 的所有属性都会丢失，用户需要重新登录或重新初始化会话数据。这种策略较为激进，不推荐在大多数场景下使用。none：不做任何 Session Fixation 防护。这是最不安全的选项，仅用于测试或兼容老旧系统，生产环境严禁使用。
✅ 实践建议： 在绝大多数 Spring Boot 应用中，使用默认的 changeSessionId
http
.sessionManagement()
.sessionFixation().migrateSession();2.2 认证成功后如何触发防护？
当用户通过认证 Filter（如 UsernamePasswordAuthenticationFilter
// org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter
private SessionAuthenticationStrategy sessionStrategy = ...
private void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
throws IOException, ServletException {
//...
try {
Authentication authenticationResult = attemptAuthentication(request, response);
//...
// 调用Session Fixation策略
this.sessionStrategy.onAuthentication(authenticationResult, request, response);
//...
}
// catch...
}这段代码的核心是调用 SessionAuthenticationStrategy 的 onAuthentication 方法，该方法会根据配置的策略（如 changeSessionId
三、Session Fixation 在 OAuth2 授权码流程中的触发时机
在 Spring Authorization Server 的 OAuth2 授权码流程中，Session Fixation 防护的触发时机非常关键。让我们以标准流程为例，逐步分析：
- 用户访问授权端点：用户访问
/oauth2/authorize - 用户提交登录表单：用户输入用户名和密码，提交登录请求。
- Spring Security 认证：
UsernamePasswordAuthenticationFilter验证用户身份，认证成功后，立即触发 Session Fixation 防护，更换 Session ID。 - 用户完成授权：用户确认授权，返回授权码。
关键代码链路：
- 认证成功后，调用
UsernamePasswordAuthenticationFilter - 默认实现为
SessionFixationProtectionStrategyrequest.changeSessionId()
⚠️ 注意： 在 OAuth2 授权码流程中，授权码本身是无状态的，但用户的登录会话是有状态的。因此，在用户登录成功后立即更换 Session ID，可以有效防止攻击者利用固定 Session ID 窃取授权码或访问令牌。
四、Spring Session 的作用与集成：分布式会话管理
对于单机应用，Spring Security 的 Session Fixation 防护已经足够。但在分布式或微服务架构中，我们需要 Spring Session 来管理会话的共享和持久化。
4.1 为什么需要 Spring Session？
假设你的应用部署在多台服务器上，用户第一次请求落在 Server A，登录后 Session 存储在 Server A 的内存中。当用户的下一次请求落在 Server B 时，Server B 无法获取用户的 Session 数据，导致用户需要重新登录。Spring Session 通过将 Session 数据存储在外部存储（如 Redis、JDBC）中，解决了这个问题。
核心组件SessionRepositoryFilter
- 拦截所有请求，将原生
HttpSession - 将 Session 的创建、读取、更新、删除操作委托给后端存储（如 Redis）。
- 监听 Session ID 的变更（例如由 Session Fixation 防护触发），自动迁移 Session 数据到新的 ID。
- 在请求结束时，自动将 Session 数据持久化到后端存储。
4.2 集成 Spring Session 到 Spring Security
以 Redis 为例，集成 Spring Session 非常简单：
<dependency>
<groupId>org.springframework.session</groupId>
<artifactId>spring-session-data-redis</artifactId>
</dependency>配置示例：
@EnableRedisHttpSession
public class SessionConfig {}4.3 Spring Session 如何感知并迁移 Session？
Spring Session 通过 SessionRepositoryFilter 的 doFilterInternal 方法拦截请求，并在请求结束时通过 commitSession 方法将 Session 数据保存到 Redis。当 Session ID 发生变化时（如 Session Fixation 防护），Spring Session 会自动创建新的 Session ID，并将原 Session 的所有属性复制到新 Session 中。
关键代码：
// org.springframework.session.web.http.SessionRepositoryFilter#doFilterInternal
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
throws ServletException, IOException {
request.setAttribute(SESSION_REPOSITORY_ATTR, this.sessionRepository);
SessionRepositoryRequestWrapper wrappedRequest = new SessionRepositoryRequestWrapper(request, response);
SessionRepositoryResponseWrapper wrappedResponse = new SessionRepositoryResponseWrapper(wrappedRequest,
response);
try {
filterChain.doFilter(wrappedRequest, wrappedResponse);
}
finally {
//提交session
wrappedRequest.commitSession();
}
}// org.springframework.session.web.http.SessionRepositoryFilter.SessionRepositoryRequestWrapper#commitSession
private void commitSession() {
HttpSessionWrapper wrappedSession = getCurrentSession();
if (wrappedSession == null) {
if (isInvalidateClientSession()) {
SessionRepositoryFilter.this.httpSessionIdResolver.expireSession(this, this.response);
}
}
else {
S session = wrappedSession.getSession();
String requestedSessionId = getRequestedSessionId();
clearRequestedSessionCache();
//保存session
SessionRepositoryFilter.this.sessionRepository.save(session);
//检测当前 Session ID 与请求时的 Session ID 是否不同。
//如果不同，调用 HttpSessionIdResolver#setSessionId()，
//默认实现为 CookieHttpSessionIdResolver#setSessionId()，将新的 Session ID 写入响应 Cookie。
//底层依赖DefaultCookieSerializer
String sessionId = session.getId();
if (!isRequestedSessionIdValid() || !sessionId.equals(requestedSessionId)) {
SessionRepositoryFilter.this.httpSessionIdResolver.setSessionId(this, this.response, sessionId);
}
}
}✅ 实践建议： 在高并发场景下，建议使用 Redis Cluster 或 Sentinel 模式来保证 Session 存储的高可用性。同时，合理设置 Session 过期时间，避免 Redis 内存被撑爆。
[AFFILIATE_SLOT_1]五、三者结合的完整流程：从登录到授权
现在，让我们将 Spring Security、Spring Authorization Server 和 Spring Session 三者结合起来，看看一个完整的 OAuth2 授权码流程是如何运行的：
- 用户未登录：用户访问授权端点，被重定向到登录页面。
- 登录认证成功：
UsernamePasswordAuthenticationFilter触发SessionFixationProtectionStrategychangeSessionId() - Spring Session 介入：
SessionRepositoryFilter - 持久化到 Redis：请求结束时，
SessionRepository.save() - 后续请求：用户后续的所有请求都基于新的 Session ID，即使请求落在不同的服务器上，也能从 Redis 中正确获取 Session 数据，保证会话安全且一致。
技术要点：
- 整个过程中，开发者不需要编写任何 Session Fixation 相关的代码，Spring Security 和 Spring Session 自动完成了所有工作。
- 对于使用 C++、Python、JavaScript、TypeScript、Go 等语言构建的微服务，虽然它们不直接使用 Spring 框架，但相同的安全设计原则（认证后更换 Session ID、集中式会话存储）同样适用。
六、总结
Session Fixation 防护是 OAuth2 授权流程安全的基础。Spring Security 默认集成了高效的 Session Fixation 防护机制，认证成功后自动更换 Session ID，确保认证前后的会话隔离。Spring Session 则无缝支持分布式环境下的 Session ID 变更，自动迁移会话数据，保证数据一致性与安全性。在 Spring Authorization Server 场景下，开发者只需正确集成 Spring Security 和 Spring Session，无需手动处理 Session Fixation 相关逻辑。通过这套完善的机制，Spring 技术栈为 OAuth2 授权服务器提供了坚如磐石的会话安全保障。
浙公网安备 33010602011771号