我尝试为/testMVCController/**端点实现SessionCreationPolicy.ALWAYS，为其余端点（/**）实现SessionCreationPolicy.STATELESS。

• • 预期情景：**

访问/testMVCController/displayUsers时，用户登录一次，我在UserDetailsService中实现的日志记录了与该用户关联的权限，之后所有对/testMVCController/displayUsers或/testMVCController/**下其他URL的请求都不会再记录权限，因为会话创建策略为always，并且用户已经登录。
当我没有指定第二个安全配置（X509ClientSessionCreationPolicyStateless）时，这是有效的，但是当我添加它时，所有的请求都变成了无状态会话。
它不适用于当前的安全配置，因为在我使用客户端证书登录后，在/testMVCController/**端点（例如/testMVCController/displayUsers）下执行任何请求时，将查询authenticationUserDetailsService，并为浏览器发出的每个文件请求（. js文件、. css文件等）记录权限列表，即使在初始登录后也是如此。
因此，如果存在3个请求（/testMVCController/displayUsers、displayUsers.js、displayUsers.css），则将3次记录authenticationUserDetailsService中存在的权限日志列表。
我按如下所示配置了SecurityConfiguration，但它不起作用：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
@EnableWebSecurity
public class SecurityConfiguration {

 @Configuration
 @Order(1)
 public static class X509ClientSessionCreationPolicyAlways extends WebSecurityConfigurerAdapter {

      @Autowired
      private X509CUDService x509CUDService;

      @Override
      protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      }

      @Override
      protected void configure(HttpSecurity http) throws Exception {
           http
                .antMatcher("/testMVCController/**")
                .csrf().disable()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .x509()
                .authenticationUserDetailsService(x509CUDService)
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.ALWAYS);
      }

 }

 @Configuration
 @Order(2)
 public static class X509ClientSessionCreationPolicyStateless extends WebSecurityConfigurerAdapter {

      @Autowired
      private X509CUDService X509CUDService ;

      @Override
      protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      }

      @Override
      protected void configure(HttpSecurity http) throws Exception {
           http
                .antMatcher("/**")
                .csrf().disable()
                .authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .x509()
                .authenticationUserDetailsService(X509CUDService);
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
      }

      @Override
      @Bean
      public AuthenticationManager authenticationManagerBean() throws Exception {
           return super.authenticationManagerBean();
      }

 }

}
我已经搜索了这个问题，我发现了各种链接（例如Spring session creation policy per-request?，Spring Session: How to create separate session management policies for different URLs和多个HttpSecurity），但没有一个工作。
先谢了!