Spring Security：登录前生成JSESSIONID，如何清除登录前后会话？

针对你遇到的登录前就生成JSESSIONID、需要清除未登录会话，以及新标签页自动登录的问题，我给你梳理几个具体的解决方案：

一、清除登录前的现有会话 #

Spring Security默认会在请求到达时（即使是未认证的登录页请求），如果容器判断需要会话就会创建JSESSIONID。我们可以通过自定义过滤器，在用户访问登录页且未认证时，主动销毁已有会话：

1. 编写自定义过滤器类：

public class ClearUnauthenticatedSessionFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 仅针对登录页请求，且用户未认证时处理
        String requestUri = request.getRequestURI();
        if ("/login".equals(requestUri) && request.getUserPrincipal() == null) {
            // 获取现有会话（不创建新会话）
            HttpSession session = request.getSession(false);
            if (session != null) {
                session.invalidate(); // 销毁旧会话
            }
        }
        filterChain.doFilter(request, response);
    }
}

2. 在Security配置中添加这个过滤器，放在UsernamePasswordAuthenticationFilter之前：

// 插入到你的http配置链中
http.addFilterBefore(new ClearUnauthenticatedSessionFilter(), UsernamePasswordAuthenticationFilter.class);

这样用户每次访问登录页时，如果还未认证，旧的JSESSIONID会被清除，避免登录前存在无效会话。

二、优化会话管理，解决新标签页自动登录问题 #

新标签页自动登录通常是因为浏览器共享了现有会话或remember-me cookie，我们可以通过以下配置优化：

1. 启用会话固定保护，登录成功后创建全新会话：

http.sessionManagement()
    .sessionFixation().newSession() // 登录成功后生成新会话，彻底隔离旧会话
    .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
    .maximumSessions(1)
    .maxSessionsPreventsLogin(true) // 开启同一用户只能登录一次，新登录会让旧会话失效（可选，根据业务需求调整）
    .expiredUrl("/login?sessionExpired")
.and()
    .invalidSessionUrl("/login?invalidSession");

2. 完善注销逻辑，确保彻底清除会话和remember-me cookie：
   当前你的注销配置已经删除了JSESSIONID和remember-me，但可以合并写法，确保逻辑更清晰：

.logout()
    .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
    .logoutSuccessUrl("/login?logout")
    .deleteCookies("JSESSIONID", "remember-me") // 合并删除cookie的配置
    .invalidateHttpSession(true) // 显式注销时销毁会话（默认已开启，显式配置更直观）
    .permitAll()

3. 调整remember-me的cookie属性（可选）：
   如果你希望remember-me cookie在关闭浏览器后失效（避免新标签页自动登录），可以自定义remember-me服务，设置cookie为会话级：

@Bean
public RememberMeServices rememberMeServices() {
    TokenBasedRememberMeServices rememberMeServices = new TokenBasedRememberMeServices("remember-me", userDetailsService());
    rememberMeServices.setCookieName("remember-me");
    rememberMeServices.setCookieMaxAge(-1); // 关闭浏览器后cookie自动失效
    return rememberMeServices;
}

三、验证效果 #

完成配置后，你可以测试以下场景：

• 访问登录页时，查看浏览器Cookie，JSESSIONID不会提前生成（或旧的会被清除）
• 登录成功后，JSESSIONID会更新为新的值
• 注销后，JSESSIONID和remember-me cookie会被删除，新标签页访问受保护资源需要重新登录

内容的提问来源于stack exchange，提问作者naresh kuppani