SpringSecurity-11-只允许一个用户登录
本次给你介绍只允许用户在一个地方登录，也就是说每个用户只允许有一个Session。他有两种场景
- 如果同一个用户在第二个地方登录，则将第一个登录下线
- 如果同一个用户在第二个地方登录，则不允许二次的登录
同一个用户在第二个地方登录，则将第一个登录退出
具体步骤如下：
- 重构com.security.learn.config.LearnSrpingSecurity的configure(HttpSecurity http)方法
@Autowired
private SessionInformationExpiredStrategy sessionInformationExpiredStrategy;
.and()
.sessionManagement()
.invalidSessionStrategy(invalidSessionStrategy)
.maximumSessions(1)//// 每个用户在系统中的最大session数
// .maxSessionsPreventsLogin(true)
.expiredSessionStrategy(sessionInformationExpiredStrategy)// 当用户达到最大session数后，则调用此处的实现
- 自定义SessionInformationExpiredStrategy实现类来定制策略
import com.fasterxml.jackson.databind.ObjectMapper;
import com.security.learn.handler.MyAuthenticationFailureHandler;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationServiceException;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.web.session.SessionInformationExpiredEvent;
import org.springframework.security.web.session.SessionInformationExpiredStrategy;
import javax.servlet.ServletException;
import java.io.IOException;
public class MySessionInformationExpiredStrategy implements SessionInformationExpiredStrategy {
//Jackson JSON数据处理类
private static ObjectMapper objectMapper = new ObjectMapper();
@Autowired
MyAuthenticationFailureHandler myAuthenticationFailureHandler;
@Override
public void onExpiredSessionDetected(SessionInformationExpiredEvent event) throws IOException, ServletException {
// 1. 获取用户名
UserDetails userDetails =
(UserDetails)event.getSessionInformation().getPrincipal();
AuthenticationException exception =
new AuthenticationServiceException(
String.format("[%s] 用户在另外一台电脑登录,您已被下线", userDetails.getUsername()));
try {
// 当用户在另外一台电脑登录后,交给失败处理器回到认证页面
event.getRequest().setAttribute("toAuthentication" , true);
myAuthenticationFailureHandler
.onAuthenticationFailure(event.getRequest(), event.getResponse(), exception);
} catch (ServletException e) {
e.printStackTrace();
}
}
}- 在com.security.learn.config.Myconfig类中注入SessionInformationExpiredStrategy
@Bean
@ConditionalOnMissingBean(SessionInformationExpiredStrategy.class)
public SessionInformationExpiredStrategy informationExpiredStrategy(){
return new MySessionInformationExpiredStrategy();
}
测试：
- 谷歌浏览器用户名密码登录
- 再使用火狐浏览器用户名密码登录
- 回到谷歌浏览器刷新请求，发现回到登录页面，提示被下线
如果同一个用户在第二个地方登录，则不允许二次的登录
如果同一用户在第2个地方登录时，则不允许他二次登录。
实现步骤:
- 在 LearnSrpingSecurity添加 maxSessionsPreventsLogin(true) 后不允许二次登录,其实就是添加一个 .maxSessionsPreventsLogin(true)。
.and()
.sessionManagement()
.invalidSessionStrategy(invalidSessionStrategy)
.maximumSessions(1)//// 每个用户在系统中的最大session数
.maxSessionsPreventsLogin(true)
.expiredSessionStrategy(sessionInformationExpiredStrategy)// 当用户达到最大session数后，则调用此处的实现
;测试：
- 谷歌浏览器用户名密码登录
- 再使用火狐浏览器用户名密码登录，发现不允许登录
解决同一用户的手机重复登录问题
使用了 admin 用户名登录后，还可以使用这个用户的手机号登录。正常应该是同一个用户，系统中只能用用户名或手机号登录一次。
解决问题：
原因是 SmsCodeAuthenticationFilter继承的类 AbstractAuthenticationProcessingFilter 中，默认使用了 NullAuthenticatedSessionStrategy 实例管理 Session，我们应该指定用户名密码过滤器中所使用的那个SessionAuthenticationStrategy 实现类 CompositeSessionAuthenticationStrategy 。在com.security.learn.config.SmsCodeSecurityConfig指定即可解决：
@Component
public class SmsCodeSecurityConfig extends SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity> {
@Autowired
@Qualifier("smsCodeUserDetailsService")
private SmsCodeUserDetailsService smsCodeUserDetailsService;
@Resource
private SmsCodeValidateFilter smsCodeValidateFilter;
@Override
public void configure(HttpSecurity http) throws Exception {
//创建手机校验过滤器实例
SmsCodeAuthenticationFilter smsCodeAuthenticationFilter = new SmsCodeAuthenticationFilter();
//接收 AuthenticationManager 认证管理器
smsCodeAuthenticationFilter.setAuthenticationManager(http.getSharedObject(AuthenticationManager.class));
//处理成功handler
//smsCodeAuthenticationFilter.setAuthenticationSuccessHandler(myAuthenticationSuccessHandler);
//处理失败handler
//smsCodeAuthenticationFilter.setAuthenticationFailureHandler(myAuthenticationFailureHandler);
smsCodeAuthenticationFilter.setRememberMeServices(http.getSharedObject(RememberMeServices.class));
smsCodeAuthenticationFilter.setSessionAuthenticationStrategy(http.getSharedObject(SessionAuthenticationStrategy.class));
// 获取验证码提供者
SmsCodeAuthenticationProvider smsCodeAuthenticationProvider = new SmsCodeAuthenticationProvider();
smsCodeAuthenticationProvider.setUserDetailsService(smsCodeUserDetailsService);
//在用户密码过滤器前面加入短信验证码校验过滤器
http.addFilterBefore(smsCodeValidateFilter, UsernamePasswordAuthenticationFilter.class);
//在用户密码过滤器后面加入短信验证码认证授权过滤器
http.authenticationProvider(smsCodeAuthenticationProvider)
.addFilterAfter(smsCodeAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
}
}
退出系统
解决退出不允许再次登录
配置了 .maxSessionsPreventsLogin(true) 开启了前面已登录，不允许再重复登录上面默认情况，如果登录后，然后请求 /logout 退出，再重新登录时，会提示不能重复登录。
源码分析
每次登录请求都会执行 ConcurrentSessionControlAuthenticationStrategy#onAuthentication判断用户在系统是否已经存在 session了, 且判断是否已经超过限制的session数量了,超出则抛异常
原因是退出时,并没有将 SessionRegistryImpl.principals缓存用户信息进行删除
@Override
public void onAuthentication(Authentication authentication, HttpServletRequest request, HttpServletResponse response) {
int allowedSessions = getMaximumSessionsForThisUser(authentication);
if (allowedSessions == -1) {
// We permit unlimited logins
return;
}
// 获取当前用户在系统中的所有 session
List<SessionInformation> sessions = this.sessionRegistry.getAllSessions(authentication.getPrincipal(), false);
int sessionCount = sessions.size();
if (sessionCount < allowedSessions) {
// 用户session总个数 小于 设置的最大session数 ,则直接通过
return;
}
// 创建session
if (sessionCount == allowedSessions) {
HttpSession session = request.getSession(false);
if (session != null) {
// Only permit it though if this request is associated with one of the
// already registered sessions
for (SessionInformation si : sessions) {
if (si.getSessionId().equals(session.getId())) {
return;
}
}
}
}
// 超出允许的 session 的个数 , maxSessionsPreventsLogin(true)抛出异常不让登录
allowableSessionsExceeded(sessions, allowedSessions, this.sessionRegistry);
}
解决方案
- 在com.security.learn.config.Myconfig中注入SessionRegistry
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
- 添加一个退出处理器com.security.learn.handler.MyLogoutHandler ,将用户信息从缓存中清
除
@Component
public class MyLogoutHandler implements LogoutHandler {
@Autowired
private SessionRegistry sessionRegistry;
@Override
public void logout(HttpServletRequest request,
HttpServletResponse response, Authentication authentication) {
// 退出之后 ，将对应session从缓存中清除 SessionRegistryImpl.principals
sessionRegistry.removeSessionInformation(request.getSession().getId());
}
}SpringSecurityConfifig 注入 customLogoutHandler
自定义退出处理
在 com.security.learn.config.LearnSrpingSecurity注入MyLogoutHandler
/**
* 退出清除缓存 */
@Autowired
private MyLogoutHandler myLogoutHandler;
@Autowired
private SessionRegistry sessionRegistry;
.and().logout()
.addLogoutHandler(myLogoutHandler)
.logoutUrl("/logout")
.logoutSuccessUrl("/login/page")
.deleteCookies("JSESSIONID")
如果您觉得本文不错，欢迎关注,点赞,收藏支持，您的关注是我坚持的动力！
原创不易，转载请注明出处，感谢支持！如果本文对您有用，欢迎转发分享！
