Spring Security中AbstractSessionFixationProtectionStrategy迁移会话为何用互斥锁？

为何获取newSessionId时需要互斥锁？ #

Servlet容器的HttpSession实现并非全线程安全，尤其是在执行会话ID迁移（创建新会话并迁移旧会话数据）这类操作时，并发场景下很容易出问题：

• 同一用户的多个并发请求（比如浏览器同时发起的多个AJAX请求）可能同时进入这段会话迁移逻辑。如果不加锁，多个线程会重复执行applySessionFixation，导致短时间内创建多个新会话，不仅浪费服务器资源，还会让客户端收到混乱的会话ID。
• WebUtils.getSessionMutex(session)拿到的是会话级别的互斥锁，能确保同一会话的所有并发请求串行执行会话迁移操作，避免会话状态不一致。
• 会话ID的变更必须是原子操作：获取原会话ID、创建新会话、获取新会话ID这三步得作为一个整体完成，不能被其他线程打断，否则会出现原ID与新ID的对应关系混乱，影响后续的会话跟踪和安全校验。

移除同步块会引发哪些问题？ #

如果删掉synchronized (mutex)同步块，在并发场景下会出现以下问题：

• 重复创建新会话：多个线程同时执行会话迁移逻辑，会为同一个用户创建多个新会话，服务器资源被无效占用，客户端也可能因收到多个会话ID而出现会话混乱。
• 会话数据异常：旧会话的属性在向新会话迁移时，可能被多个线程同时操作，导致部分属性未被正确复制，或者属性值被覆盖，进而引发业务逻辑错误。
• 安全防护失效：会话固定攻击的防护机制会失效，因为可能出现原会话ID还在被使用时，新会话ID已创建但未正确关联的间隙，攻击者可利用这个间隙继续使用原会话ID进行非法操作。

内容的提问来源于stack exchange，提问作者fullstack.yang