Quels critères doivent être remplis pour créer une nouvelle session lorsque la politique de création de session IF_REQUIRED de Spring Security est utilisée ?

Question

Le programme de sécurité de Spring Documentation de l'API para SessionCreationPolicy dit ce qui suit pour le IF_REQUIRED qui est, je crois, la propriété par défaut :

Spring Security ne créera qu'un HttpSession si nécessaire

Et c'est tout ce qu'il a à dire à ce sujet. Mais qu'est-ce que cela signifie ? Quand Spring détermine-t-il qu'une nouvelle session "est nécessaire" ?

Answer 1

Spring permet de définir des haricots avec une portée session :

@Component
@Scope("session")
public class MyComponent

ou à partir du printemps 4.3 :

@Component
@SessionScope
public class MyComponent

Je suppose que lorsqu'un tel bean est nécessaire à l'exécution, une session doit être créée.