Apache Ignite 似乎会导致会话固定

Question

我正在使用 Apache Ignite 来集群网络会话，并使用 Spring 安全性来进行基于表单的身份验证。我使用的软件是：

JDK1.8.0_60
阿帕奇 Tomcat 7.0.68
Apache 点燃 1.5。0.final
Spring 安全 3.1.3.RELEASE

（没有 Apache Ignite，基于表单的身份验证工作正常，并且 JSESSIONID cookie 会在身份验证成功后更改，以防止会话固定攻击，正如预期的那样。）

使用 Apache Ignite，我无法登录，并收到以下警告：

2016-04-18 16:49:07,283 WARN  org.springframework.security.web.authentication.session.SessionFixationProtectionStrategy/onAuthentication 102 - Your servlet container did not change the session ID when a new session was created. You will not be adequately protected against session-fixation attacks

如果我在 Spring 配置中关闭会话固定保护，如下所示：

<http>
    ...
    <session-management session-fixation-protection="none" />
    ...
</http>

有效。（然而，因此，JSESSIONID cookie 不会在身份验证成功时发生变化。）

Answer 1

Tomcat 7 具有用于会话固定的内置功能，

更改身份验证的 jsessionid 以完全防止会话固定攻击

Tomcat 不允许应用程序更改会话 ID。

Answer 2

根据 Valentin 的建议（谢谢），我尝试 the nightly build 来自 Apache Ignite，版本 1.6.0-SNAPSHOT#20160419-sha1:186c8604。确实，它有效。

它适用于以下 Spring 安全配置：

<http>
    ...
    <session-management session-fixation-protection="none" />
    ...
</http>

当然，JSESSIONID cookie 在 Spring 安全验证成功后不会改变。

那我把下面的配置注释掉：

<session-management session-fixation-protection="none" />

它也有效。身份验证成功后，JSESSIONID cookie 会按预期更改。

好的，我现在使用 Ignite 1.5.0.final 版本（没有会话固定保护），等待版本 1.6.x.

Apache Ignite 似乎会导致会话固定

Apache Ignite seems to cause session fixation

session

spring-security

ignite