本文介绍了会话固定攻击的概念及其危害，详细阐述了Spring Boot如何通过默认配置防止此类攻击。文中提到Spring Security在三个方面进行了防御措施，并强调了HttpSession在会话固定攻击中的角色。此外，还提供了自我提升Java开发技能的学习资源。
看前面文章的评论，我发现有的小伙伴对 HttpSession 还不太熟悉，所以在讲会话固定攻击之前，先来和大家说一说 HttpSession。
HttpSession 是一个服务端的概念，服务端生成的 HttpSession 都会有一个对应的 sessionid，这个 sessionid 会通过 cookie 传递给前端，前端以后发送请求的时候，就带上这个 sessionid 参数，服务端看到这个 sessionid 就会把这个前端请求和服务端的某一个 HttpSession 对应起来，形成“会话”的感觉。
浏览器关闭并不会导致服务端的 HttpSession 失效，想让服务端的 HttpSession 失效，要么手动调用 HttpSession#invalidate 方法；要么等到 session 自动过期；要么重启服务端。
但是为什么有的人会感觉浏览器关闭之后 session 就失效了呢？这是因为浏览器关闭之后，保存在浏览器里边的 sessionid 就丢了（默认情况下），所以当浏览器再次访问服务端的时候
最低0.47元/天 解锁文章
513
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
