Spring BootプロジェクトにSpringセッションJDBCを追加すると、iframeで認証が失敗する

私は現在、Spring Securityで保護されているSpring Boot Webアプリケーション（2.3.1ですが、次の問題もバージョン2.1.7および2.1.5で確認されています）を構築しています。私は主にデフォルト設定を使用します（例：埋め込みTomcat、埋め込みH2データベース、Spring Web-MVC）。POST次のコードを使用して、寛容なマッピングでカスタム認証を行います。

UsernamePasswordAuthenticationToken authentication = ...;
SecurityContext context = SecurityContextHolder.getContext();
context.setAuthentication(authentication);

これは正常に動作します。学生の試験に使用したいので、認証を維持してセッションを維持したいので、サーバーソフトウェアが何らかの理由でクラッシュまたはダウンした場合でも、サーバーが再起動したときに再認証する必要はありません。

これにはSpring Session JDBCを使用しました。私は次の依存関係をmyに追加しましたpom.xml：

<dependency>
   <groupId>org.springframework.session</groupId>
   <artifactId>spring-session-jdbc</artifactId>
</dependency>

私への次の行 application.properties

spring.session.store-type=jdbc

ローカルでテストすると、これはすべて正常に機能します。データベースにセッションが表示されるのを確認して、すべてがうまくいきます。ただし、実際には、アプリケーションは次から開始されますiframe。学習管理システムはLTI起動を実行します。これは、応答がで終了するPOSTリクエストですiframe。テスト展開を行おうとする403と、リクエストが認証されていないというエラーが発生しました。イライラするデバッグの1日の後、最終的にこの問題を突き止めることができましspring-session-jdbcた。プロジェクトに追加すると、Webアプリケーションがのリクエストごとに新しいセッションID Cookieを送信するという事実に突き止められましたiframe。なしで同じリクエストを繰り返すiframeと、同じアプリケーションが正常に動作します。spring-session-jdbc依存関係を削除すると、アプリケーションiframeも内で正常に動作します。

iframe内で認証を実行すると、Spring Securityデバッグログに以下が表示されます（exec-1は認証が成功した場所、exec-2はexec-1要求によってリダイレクトされた後にiframeが実行する要求です）。

2020-06-24 22:14:02.015 DEBUG 7474 --- [nio-8031-exec-1] o.s.s.w.header.writers.HstsHeaderWriter  : Not injecting HSTS header since it did not match the requestMatcher org.springframework.security.web.header.writers.HstsHeaderWriter$SecureRequestMatcher@671fa7ec
2020-06-24 22:14:02.015 DEBUG 7474 --- [nio-8031-exec-1] w.c.HttpSessionSecurityContextRepository : SecurityContext is empty or contents are anonymous - context will not be stored in HttpSession.
2020-06-24 22:14:02.063 DEBUG 7474 --- [nio-8031-exec-1] s.s.w.c.SecurityContextPersistenceFilter : SecurityContextHolder now cleared, as request processing completed
2020-06-24 22:14:02.113 DEBUG 7474 --- [nio-8031-exec-2] o.s.security.web.FilterChainProxy        : /launch/development at position 1 of 11 in additional filter chain; firing Filter: 'WebAsyncManagerIntegrationFilter'
2020-06-24 22:14:02.113 DEBUG 7474 --- [nio-8031-exec-2] o.s.security.web.FilterChainProxy        : /launch/development at position 2 of 11 in additional filter chain; firing Filter: 'SecurityContextPersistenceFilter'
2020-06-24 22:14:02.114 DEBUG 7474 --- [nio-8031-exec-2] w.c.HttpSessionSecurityContextRepository : No HttpSession currently exists
2020-06-24 22:14:02.114 DEBUG 7474 --- [nio-8031-exec-2] w.c.HttpSessionSecurityContextRepository : No SecurityContext was available from the HttpSession: null. A new one will be created.

通常のブラウザウィンドウで同じ実行中のアプリケーションを使用して同じリクエストを実行すると、Spring Securityデバッグログに次のように表示されます。

2020-06-24 22:18:10.518 DEBUG 7474 --- [nio-8031-exec-5] o.s.s.w.header.writers.HstsHeaderWriter  : Not injecting HSTS header since it did not match the requestMatcher org.springframework.security.web.header.writers.HstsHeaderWriter$SecureRequestMatcher@671fa7ec
2020-06-24 22:18:10.518 DEBUG 7474 --- [nio-8031-exec-5] w.c.HttpSessionSecurityContextRepository : SecurityContext 'org.springframework.security.core.context.SecurityContextImpl@e1239cdc: Authentication: org.springframework.security.authentication.UsernamePasswordAuthenticationToken@e1239cdc: Principal: testuserid; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: ROLE_INSTRUCTOR' stored to HttpSession: 'org.springframework.session.web.http.SessionRepositoryFilter$SessionRepositoryRequestWrapper$HttpSessionWrapper@66670854
2020-06-24 22:18:10.536 DEBUG 7474 --- [nio-8031-exec-5] o.s.s.w.a.ExceptionTranslationFilter     : Chain processed normally
2020-06-24 22:18:10.536 DEBUG 7474 --- [nio-8031-exec-5] s.s.w.c.SecurityContextPersistenceFilter : SecurityContextHolder now cleared, as request processing completed
2020-06-24 22:18:10.590 DEBUG 7474 --- [nio-8031-exec-6] o.s.security.web.FilterChainProxy        : /home at position 1 of 11 in additional filter chain; firing Filter: 'WebAsyncManagerIntegrationFilter'
2020-06-24 22:18:10.591 DEBUG 7474 --- [nio-8031-exec-6] o.s.security.web.FilterChainProxy        : /home at position 2 of 11 in additional filter chain; firing Filter: 'SecurityContextPersistenceFilter'
2020-06-24 22:18:10.592 DEBUG 7474 --- [nio-8031-exec-6] w.c.HttpSessionSecurityContextRepository : Obtained a valid SecurityContext from SPRING_SECURITY_CONTEXT: 'org.springframework.security.core.context.SecurityContextImpl@82a4fa0f: Authentication: org.springframework.security.authentication.UsernamePasswordAuthenticationToken@82a4fa0f: Principal: testuserid; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: ROLE_INSTRUCTOR'

私にはこれはかなり奇妙に思えます。これが純粋にブラウザの問題である場合、私がを使用するかどうかは問題ではありませんspring-session-jdbc。spring-session-jdbc認証の保存方法に問題がある場合、それが発生するかどうかは問題ではありiframeません。私がここで見逃しているものはありますか？バグに遭遇しましたか？

空白のタブでPOSTを実行させるためにiframe内でJavaScriptを使用するという回避策を試すことができますが、それはかなり醜く感じます。