Spring Boot应用在Tomcat7完成LDAP认证后抛出ServletException问题

问题根因 #

你遇到的NoSuchMethodError报错核心原因是部署用的Apache Tomcat 7.0.x版本本身仅支持Servlet 3.0规范，而报错中提到的javax.servlet.http.HttpServletRequest.changeSessionId()是Servlet 3.1版本才新增的API。

你在pom中手动添加Servlet 3.1依赖没有生效，是因为外部Tomcat容器的类加载机制会优先加载自身自带的Servlet API实现，应用包内引入的Servlet API依赖不会覆盖容器自带的版本，因此运行时实际调用的还是Tomcat 7自带的Servlet 3.0版本，自然找不到新增方法。

另外你使用的Spring Boot 2.3.2.RELEASE官方最低要求的Servlet版本就是3.1，本身就不兼容Tomcat 7，后续还可能出现其他隐藏的兼容问题。

解决方案 #

有两种可行的解决方式，优先推荐第一种：

方案1：升级Tomcat版本（推荐） #

将部署用的Tomcat升级到8.0及以上版本即可：

• Tomcat 8.0.x版本开始原生支持Servlet 3.1规范，完全适配Spring Boot 2.x系列的运行要求
• 此外Tomcat 7早在2021年就已经停止官方维护，存在大量已知安全漏洞，升级是更安全稳妥的选择

方案2：兼容Tomcat 7的修改方案（不推荐） #

如果暂时无法升级Tomcat，可以修改Spring Security的会话固定防护策略，跳过对changeSessionId方法的调用：
在你的Spring Security配置类的configure(HttpSecurity http)方法中添加如下配置：

http.sessionManagement()
    .sessionFixation()
    .migrateSession();

该配置会将默认的changeSessionId防护策略替换为Servlet 3.0兼容的migrateSession策略，认证时会保留原有session属性、生成新的session完成会话固定防护，不会调用3.1版本才有的API。
注意该方案仅为临时兼容方案，后续仍可能遇到其他Spring Boot 2.x和Tomcat 7的兼容问题，建议尽快升级Tomcat版本。

内容的提问来源于stack exchange，提问作者Anuska