Spring Security新标签页不新建会话，直接自动登录问题咨询

问题描述 #

首次打开新标签页时，系统正常弹出登录提示；但后续打开新标签页时，不会创建新会话，而是直接通过Cookie自动登录，导致无法测试登录机制，每次测试都需要打开新的Chrome窗口。想确认这是浏览器会话存储导致的，还是Spring Security的默认行为，以及是否需要配置调整。

我的Security配置文件 #

package com.example.tacohouse.configuration;
import com.example.tacohouse.model.User;
import com.example.tacohouse.repositories.UserRepository;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityCustomizer;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.servlet.util.matcher.MvcRequestMatcher;
import org.springframework.web.servlet.handler.HandlerMappingIntrospector;
import static org.springframework.security.web.util.matcher.AntPathRequestMatcher.antMatcher;
@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
    @Bean
    public UserDetailsService userDetailsService(UserRepository userRepository){
        return username-> {
            User user = userRepository.findByUsername(username);
            if(user!=null){
                return user;
            }
            throw new UsernameNotFoundException("User:\"" + username + "\" not found" );
        };
    }
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http, HandlerMappingIntrospector introspector) throws Exception{
        MvcRequestMatcher.Builder mvc = new MvcRequestMatcher.Builder(introspector);
        http
                .authorizeHttpRequests((auth)-> auth
                        .requestMatchers(mvc.pattern("/design") , mvc.pattern("/orders")).hasRole("USER")
                        .requestMatchers(mvc.pattern("/"), mvc.pattern("/**")).permitAll())
                .formLogin(form->
                        form
                                .loginPage("/login")
                                .defaultSuccessUrl(("/"),true));
        return http.build();
    }
    @Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring().requestMatchers(antMatcher("/h2-console/**"));
    }
}

原因分析 #

这是浏览器会话Cookie共享 + Spring Security默认会话管理策略共同作用的结果：

• Spring Security默认使用JSESSIONID Cookie跟踪用户会话，登录成功后浏览器会保存这个会话级Cookie（关闭浏览器才会删除）。
• 同域名下的新标签页属于同一个浏览器会话，会自动携带已有的JSESSIONID Cookie，Spring Security验证Cookie有效后，就会自动复用现有会话，无需重新登录。

解决方案 #

临时测试方案（无需修改代码） #

• 每次测试前，打开Chrome开发者工具（F12），切换到Application标签页，找到当前域名的Cookies，删除JSESSIONID即可触发重新登录。
• 使用Chrome隐身窗口测试，每个隐身窗口都是独立的会话环境，不会共享常规窗口的Cookie。

代码配置调整（修改默认行为） #

如果需要让新标签页强制触发登录，可以调整Spring Security的会话管理或Cookie属性：

1. 强制登录时创建新会话
   在SecurityFilterChain中添加会话管理配置，设置登录时强制生成新会话，同时限制同一用户只能存在一个会话：

http
    // ... 保留原有授权、表单登录配置
    .formLogin(form->
            form
                    .loginPage("/login")
                    .defaultSuccessUrl("/", true)
                    .sessionAuthenticationStrategy(new SessionFixationProtectionStrategy()) // 登录时强制创建新会话
    )
    .sessionManagement(session -> session
            .maximumSessions(1) // 同一用户只能有一个有效会话，新登录会踢掉旧会话
            .expiredUrl("/login?expired") // 会话过期后的跳转页
    );

2. 调整Cookie的SameSite属性
   将Cookie的SameSite设置为Strict，这样只有当请求来自完全相同的上下文（同一标签页的跳转）时才会携带Cookie，新标签页的请求不会自动携带Cookie：

http
    // ... 保留原有配置
    .sessionManagement(session -> session
            .sessionCookie(cookie -> cookie
                    .sameSite("Strict")
            )
    );

总结 #

核心原因是浏览器共享会话Cookie导致的自动登录，Spring Security默认会复用有效的会话。临时测试用隐身窗口或删除Cookie最便捷；如果需要长期修改系统行为，可通过调整会话管理或Cookie属性实现。

内容的提问来源于stack exchange，提问作者alpha