在不启用Spring Security的Spring Boot中关闭HttpSession

嘿，这个场景我之前做自定义JWT认证的时候也遇到过，完全可以通过server.servlet.session相关配置来实现需求，不用依赖Spring Security，下面给你详细说下：

核心配置方案 #

直接在你的配置文件里添加以下配置，就能彻底禁用Servlet容器的会话支持，从而消除JSESSIONID：

如果你用的是application.properties： #

# 完全禁用Servlet会话
server.servlet.session.enabled=false
# 清空会话跟踪模式，避免URL重写等其他会话跟踪方式
server.servlet.session.tracking-modes=

如果你用的是application.yml： #

server:
  servlet:
    session:
      enabled: false
      tracking-modes: []

为什么这些配置有效？ #

• server.servlet.session.enabled=false：这个配置会告诉底层的Servlet容器（比如Tomcat、Jetty）不要创建任何会话对象，自然也就不会生成和发送JSESSIONID Cookie了。
• tracking-modes设为空：确保容器不会通过URL重写、SSL证书等其他方式跟踪会话，从根源上切断所有会话相关的机制，保证API完全无状态。

额外注意事项 #

• 因为你没有使用Spring Security，这些配置直接作用于Servlet容器，不需要额外处理Security的会话配置，生效非常直接。
• 请确保你的自定义JWT认证逻辑完全不依赖会话：所有用户身份、权限信息都通过请求头里的JWT Token传递，每个请求都是独立的，这样才能真正实现无状态运行。
• 验证配置是否生效：可以用浏览器开发者工具或者Postman发起请求，查看响应头里是否没有Set-Cookie: JSESSIONID字段，如果没有就说明配置生效了。

内容的提问来源于stack exchange，提问作者Geyser14