Spring认证时浏览器JSESSION Cookie与服务器SessionID不一致问题咨询

测试Spring认证时发现浏览器中的JSESSION Cookie与服务器日志里的SessionID不一致，每次完成认证后两者值都不同。原本认为它们应该始终一致，想了解原因，这是否属于预期行为？

浏览器截图：

服务器日志截图：

配置文件：

@EnableWebSecurity
@Configuration
public class SecurityConfig {

    @Bean
    public static PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }


    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {

        http.csrf().and().cors().and().authorizeRequests().anyRequest().authenticated().and().formLogin();
        return http.build();

    }
}

这是Spring Security的预期行为，根源在于框架默认启用了**会话固定保护（Session Fixation Protection）**安全机制。

具体原理 #

• 用户未登录时，浏览器会创建一个匿名会话，对应一个JSESSIONID Cookie。
• 当用户通过表单完成认证后，Spring Security会自动生成全新的会话，将原匿名会话的属性迁移至新会话，并向浏览器发送新的JSESSIONID Cookie。
• 你看到的差异，大概率是登录前查看了浏览器的Cookie值，而服务器日志记录的是认证后新生成的SessionID。此时刷新浏览器，Cookie值会更新为与日志一致的新ID。

验证方法 #

登录成功后刷新浏览器页面，再查看浏览器的JSESSION Cookie，此时值会和服务器日志中的SessionID完全匹配。

关于禁用该机制（不推荐） #

如果业务场景确实需要关闭会话固定保护，可以在SecurityFilterChain中添加如下配置：

http.sessionManagement()
    .sessionFixation().none();

注意：会话固定保护是防御会话劫持攻击的关键手段，禁用会降低系统安全性，需谨慎操作。

内容的提问来源于stack exchange，提问作者Janek