왜 ShiroWebModule은 유효성이 확인되지 않는 SessionManager에 기본 설정되어 있습니까?

Question

ServletContainerSessionManager은 ValidatingSessionManager이 아닙니다. 고아 정리를 처리하기 위해 기본 컨테이너로 연기합니까? 그건 맞지 않아.

전 기능 구현이므로 DefaultWebSessionManager으로 전환해도 위험이나 단점이 없다고 가정합니다. 이 모듈의 기본값이 아닌 이유가 있습니까?

Answer 1

ServletContainerSessionManager 실제로 모든 세션 관련 기능에 대해 컨테이너에 연기됩니다. ShiroWebModule은 기본적으로 DefaultWebSecurityManager에서 이미 기본값으로 설정 되었기 때문에 기본값으로 설정됩니다. 기본 ini 설정, 봄 또는 guice를 사용하던간에 기본값을 동일하게 유지하려고했습니다.

Shiro의 세션 관리가 필요하다면 DefaultWebSessionManager으로 전환 할 이유가 없습니다. 사실, 이것이 바로 bindSessionManager 방법이 존재하는 이유입니다.

단순히 bindSessionManager를 오버라이드 (override), 전환하려면 :

@Override 
protected void bindSessionManager(AnnotatedBindingBuilder<SessionManager> bind) { 
    bind.to(DefaultWebSessionManager.class).asEagerSingleton(); 
}