重庆分公司,新征程启航
为企业提供网站建设、域名注册、服务器等服务
SpringSecurity中怎么禁止用户重复登陆,针对这个问题,这篇文章详细介绍了相对应的分析和解答,希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。
创新互联公司服务项目包括察哈尔右翼后网站建设、察哈尔右翼后网站制作、察哈尔右翼后网页制作以及察哈尔右翼后网络营销策划等。多年来,我们专注于互联网行业,利用自身积累的技术优势、行业经验、深度合作伙伴关系等,向广大中小型企业、政府机构等提供互联网行业的解决方案,察哈尔右翼后网站推广取得了明显的社会效益与经济效益。目前,我们服务的客户以成都为中心已经辐射到察哈尔右翼后省份的部分城市,未来相信会继续扩大服务区域并继续获得客户的支持与信任!
一、SpringMVC项目,配置如下:
首先在修改Security相关的XML,我这里是spring-security.xml,修改UsernamePasswordAuthenticationFilter相关Bean的构造配置
加入
新增sas的Bean及其相关配置
加入ConcurrentSessionFilter相关Bean配置
二、SpringBoot项目
略
三、Bean配置说明
SessionAuthenticationStrategy:该接口中存在onAuthentication方法用于对新登录用户进行session相关的校验。 查看UsernamePasswordAuthenticationFilter及其父类代码,可以发现在doFilter中存在sessionStrategy.onAuthentication(authResult, request, response);方法 但UsernamePasswordAuthenticationFilter中的sessionStrategy对象默认为NullAuthenticatedSessionStrategy,即不对session进行相关验证。 如本文配置,建立id为sas的CompositeSessionAuthenticationStrategy的Bean对象。 CompositeSessionAuthenticationStrategy可以理解为一个托管类,托管所有实现SessionAuthenticationStrategy接口的对象,用来批量托管执行onAuthentication函数 这里CompositeSessionAuthenticationStrategy中注入了三个对象,关注ConcurrentSessionControlAuthenticationStrategy,它实现了对于session并发的控制 UsernamePasswordAuthenticationFilter的Bean中注入新配置的sas,用于替换原本的NullAuthenticatedSessionStrategy ConcurrentSessionFilter的Bean用来验证session是否失效,并通过SimpleRedirectSessionInformationExpiredStrategy将失败访问进行跳转。
四、代码流程说明(这里模拟用户现在A处登录,随后用户在B处登录,之后A处再进行操作时会返回失败,提示重新登录)
1、用户在A处登录,UsernamePasswordAuthenticationFilter调用sessionStrategy.onAuthentication进行session验证
2、ConcurrentSessionControlAuthenticationStrategy中的onAuthentication开始进行session验证,服务器中保存了登录后的session
/** * In addition to the steps from the superclass, the sessionRegistry will be updated * with the new session information. */ public void onAuthentication(Authentication authentication, HttpServletRequest request, HttpServletResponse response) { //根据所登录的用户信息,查询相对应的现存session列表 final List
/** * Allows subclasses to customise behaviour when too many sessions are detected. * * @param sessions either null
or all unexpired sessions associated with * the principal * @param allowableSessions the number of concurrent sessions the user is allowed to * have * @param registry an instance of the SessionRegistry
for subclass use * */ protected void allowableSessionsExceeded(List
3、用户在B处登录,再次通过ConcurrentSessionControlAuthenticationStrategy的检查,将A处登录的session置于无效状态,并在session列表中添加本次session
4、用户在A处尝试进行其他操作,ConcurrentSessionFilter进行Session相关的验证,发现A处用户已经失效,提示重新登录
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; HttpServletResponse response = (HttpServletResponse) res; //获取本次http请求的session HttpSession session = request.getSession(false); if (session != null) { //从本地session关系表中取出本次http访问的具体session信息 SessionInformation info = sessionRegistry.getSessionInformation(session .getId()); //如果存在信息,则继续执行 if (info != null) { //判断session是否已经失效(这一步在本文4.2中被执行) if (info.isExpired()) { // Expired - abort processing if (logger.isDebugEnabled()) { logger.debug("Requested session ID " + request.getRequestedSessionId() + " has expired."); } //执行登出操作 doLogout(request, response); //从XML配置中的redirectSessionInformationExpiredStrategy获取URL重定向信息,页面跳转到登录页面 this.sessionInformationExpiredStrategy.onExpiredSessionDetected(new SessionInformationExpiredEvent(info, request, response)); return; } else { // Non-expired - update last request date/time sessionRegistry.refreshLastRequest(info.getSessionId()); } } } chain.doFilter(request, response); }
5、A处用户只能再次登录,这时B处用户session将会失效重登,如此循环
关于SpringSecurity中怎么禁止用户重复登陆问题的解答就分享到这里了,希望以上内容可以对大家有一定的帮助,如果你还有很多疑惑没有解开,可以关注创新互联行业资讯频道了解更多相关知识。