禁用Session后Spring Security OAuth2的应用行为咨询

Hey there! Let's walk through exactly how your application will behave with this setup:

• 完全无会话依赖：通过SessionCreationPolicy.STATELESS，Spring Security彻底禁用了HttpSession的创建和使用。服务器端不会存储任何用户的会话数据，每个请求都是完全独立的——服务器根本"记不住"你之前发过什么请求。

• 每个请求都要带有效Token：所有需要认证的请求必须在请求头（通常是Authorization: Bearer <token>）里携带有效的OAuth2 Token。没有Token或者Token无效/过期的话，直接返回401 Unauthorized，因为没有会话可以复用之前的认证状态。

• Token驱动的认证授权：资源服务器会对每个请求里的Token做独立验证——比如检查JWT的签名是否合法、是否过期、包含的权限是否匹配请求的资源等。验证通过后才会放行，整个流程完全不依赖会话。

• 更好的扩展性与并发支持：因为没有服务器端会话的开销，你的应用可以轻松横向扩展（加更多服务器节点），同一用户的不同请求可以打到任意节点上，不用担心会话同步的问题。同时并发请求也不会有会话锁之类的冲突。

• 退出登录仅在客户端生效：由于服务器端没有存储会话，退出登录操作不需要服务器端做任何处理——客户端只需要删除本地保存的Token即可，服务器本身没有需要清理的会话数据。

另外要注意：你的基础Web Security配置（@EnableWebSecurity）里如果有会话相关的设置，会被@EnableResourceServer的配置覆盖，因为资源服务器的配置优先级更高，最终生效的是STATELESS策略。

内容的提问来源于stack exchange，提问作者akuma8