Spring Security HttpSessionなしのサービスを覚えています

Question

私の質問はthis oneに似ていますが、私はいくつかを簡略化できます。基本的に私はRemember Me Cookieを通じてユーザーを認証したいと思っていますが、サーバー側のすべてを完全にステートレスにしたい、つまりHttpSessionを作成しないでください。私は上記のユーザー名とパスワードを使用してうまく認証し、私のブラウザで私に覚えてクッキーを参照してください

<security:http use-expressions="true" create-session="stateless" > 
    <security:intercept-url pattern="/index.jsp" access="hasRole('ROLE_ANONYMOUS')" /> 
    <security:intercept-url pattern="/**" access="hasRole('ROLE_TEST')" /> 
    <security:form-login login-page="/index.jsp" default-target-url="/home" always-use-default-target="true" authentication-failure-url="/index.jsp?login_error=1" /> 
    <security:logout logout-success-url="/index.jsp"/> 
    <security:remember-me key="MY_KEY" /> 
</security:http> 

<security:authentication-manager> 
    <security:authentication-provider> 
     <security:user-service> 
      <security:user name="testUser" password="testPassword" authorities="ROLE_TEST" /> 
     </security:user-service> 
    </security:authentication-provider> 
</security:authentication-manager> 

：私は次のセットアップを持っています。その部分は素晴らしい作品です。しかし、私はそれがこのプロセスの間にセッションを作成しているのを発見しています。私はcreate-session="stateless"がこれを防ぐことになっていると思った。私はここに何かを逃していますか

Answer 1

これ以上の作業の後、セッションを作成しているのはSpring Securityではないことが分かりました。 index.jspは私がヒットするたびに新しいセッションを作成していました。 index.jspの先頭に<%@ page session="false">を追加するだけで、セッションが作成されません。