SpringSecurity中怎么禁止用戶重復登陸，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

創(chuàng)新互聯(lián)公司服務項目包括察哈爾右翼后網(wǎng)站建設、察哈爾右翼后網(wǎng)站制作、察哈爾右翼后網(wǎng)頁制作以及察哈爾右翼后網(wǎng)絡營銷策劃等。多年來，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術優(yōu)勢、行業(yè)經(jīng)驗、深度合作伙伴關系等，向廣大中小型企業(yè)、政府機構等提供互聯(lián)網(wǎng)行業(yè)的解決方案，察哈爾右翼后網(wǎng)站推廣取得了明顯的社會效益與經(jīng)濟效益。目前，我們服務的客戶以成都為中心已經(jīng)輻射到察哈爾右翼后省份的部分城市，未來相信會繼續(xù)擴大服務區(qū)域并繼續(xù)獲得客戶的支持與信任！

一、SpringMVC項目，配置如下：

首先在修改Security相關的XML，我這里是spring-security.xml，修改UsernamePasswordAuthenticationFilter相關Bean的構造配置

加入

新增sas的Bean及其相關配置

加入ConcurrentSessionFilter相關Bean配置

二、SpringBoot項目

略

三、Bean配置說明

SessionAuthenticationStrategy：該接口中存在onAuthentication方法用于對新登錄用戶進行session相關的校驗。  查看UsernamePasswordAuthenticationFilter及其父類代碼，可以發(fā)現(xiàn)在doFilter中存在sessionStrategy.onAuthentication(authResult, request, response);方法  但UsernamePasswordAuthenticationFilter中的sessionStrategy對象默認為NullAuthenticatedSessionStrategy，即不對session進行相關驗證。  如本文配置，建立id為sas的CompositeSessionAuthenticationStrategy的Bean對象。  CompositeSessionAuthenticationStrategy可以理解為一個托管類，托管所有實現(xiàn)SessionAuthenticationStrategy接口的對象，用來批量托管執(zhí)行onAuthentication函數(shù)  這里CompositeSessionAuthenticationStrategy中注入了三個對象，關注ConcurrentSessionControlAuthenticationStrategy，它實現(xiàn)了對于session并發(fā)的控制  UsernamePasswordAuthenticationFilter的Bean中注入新配置的sas，用于替換原本的NullAuthenticatedSessionStrategy  ConcurrentSessionFilter的Bean用來驗證session是否失效，并通過SimpleRedirectSessionInformationExpiredStrategy將失敗訪問進行跳轉。

四、代碼流程說明（這里模擬用戶現(xiàn)在A處登錄，隨后用戶在B處登錄，之后A處再進行操作時會返回失敗，提示重新登錄）

1、用戶在A處登錄，UsernamePasswordAuthenticationFilter調(diào)用sessionStrategy.onAuthentication進行session驗證

2、ConcurrentSessionControlAuthenticationStrategy中的onAuthentication開始進行session驗證，服務器中保存了登錄后的session

/**   * In addition to the steps from the superclass, the sessionRegistry will be updated   * with the new session information.   */  public void onAuthentication(Authentication authentication,      HttpServletRequest request, HttpServletResponse response) {    //根據(jù)所登錄的用戶信息，查詢相對應的現(xiàn)存session列表    final List sessions = sessionRegistry.getAllSessions(        authentication.getPrincipal(), false);    int sessionCount = sessions.size();    //獲取session并發(fā)數(shù)量，對于XML中的maximumSessions    int allowedSessions = getMaximumSessionsForThisUser(authentication);    //判斷現(xiàn)有session列表數(shù)量和并發(fā)控制數(shù)間的關系    //如果是首次登錄，根據(jù)xml配置，這里應該是0<1，程序將會繼續(xù)向下執(zhí)行，    //最終執(zhí)行到SessionRegistryImpl的registerNewSession進行新session的保存    if (sessionCount < allowedSessions) {      // They haven't got too many login sessions running at present      return;    }    if (allowedSessions == -1) {      // We permit unlimited logins      return;    }    if (sessionCount == allowedSessions) {      //獲取本次http請求的session      HttpSession session = request.getSession(false);      if (session != null) {        // Only permit it though if this request is associated with one of the        // already registered sessions        for (SessionInformation si : sessions) {          //循環(huán)已保存的session列表，判斷本次http請求session是否已經(jīng)保存          if (si.getSessionId().equals(session.getId())) {            //本次http請求是有效請求，返回執(zhí)行下一個filter            return;          }        }      }      // If the session is null, a new one will be created by the parent class,      // exceeding the allowed number    }    //本次http請求為新請求，進入具體判斷    allowableSessionsExceeded(sessions, allowedSessions, sessionRegistry);  }

/**   * Allows subclasses to customise behaviour when too many sessions are detected.   *   * @param sessions either null or all unexpired sessions associated with   * the principal   * @param allowableSessions the number of concurrent sessions the user is allowed to   * have   * @param registry an instance of the SessionRegistry for subclass use   *   */  protected void allowableSessionsExceeded(List sessions,      int allowableSessions, SessionRegistry registry)      throws SessionAuthenticationException {    //根據(jù)exceptionIfMaximumExceeded判斷是否要將新http請求拒絕    //exceptionIfMaximumExceeded也可以在XML中配置    if (exceptionIfMaximumExceeded || (sessions == null)) {      throw new SessionAuthenticationException(messages.getMessage(          "ConcurrentSessionControlAuthenticationStrategy.exceededAllowed",          new Object[] { Integer.valueOf(allowableSessions) },          "Maximum sessions of {0} for this principal exceeded"));    }    // Determine least recently used session, and mark it for invalidation    SessionInformation leastRecentlyUsed = null;    //若不拒絕新請求，遍歷現(xiàn)存seesion列表    for (SessionInformation session : sessions) {      //獲取上一次/已存的session信息      if ((leastRecentlyUsed == null)          || session.getLastRequest()              .before(leastRecentlyUsed.getLastRequest())) {        leastRecentlyUsed = session;      }    }    //將上次session信息寫為無效（欺騙）    leastRecentlyUsed.expireNow();  }

3、用戶在B處登錄，再次通過ConcurrentSessionControlAuthenticationStrategy的檢查，將A處登錄的session置于無效狀態(tài)，并在session列表中添加本次session

4、用戶在A處嘗試進行其他操作，ConcurrentSessionFilter進行Session相關的驗證，發(fā)現(xiàn)A處用戶已經(jīng)失效，提示重新登錄

public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)      throws IOException, ServletException {    HttpServletRequest request = (HttpServletRequest) req;    HttpServletResponse response = (HttpServletResponse) res;  //獲取本次http請求的session    HttpSession session = request.getSession(false);      if (session != null) {      //從本地session關系表中取出本次http訪問的具體session信息      SessionInformation info = sessionRegistry.getSessionInformation(session          .getId());      //如果存在信息，則繼續(xù)執(zhí)行      if (info != null) {        //判斷session是否已經(jīng)失效（這一步在本文4.2中被執(zhí)行）        if (info.isExpired()) {          // Expired - abort processing          if (logger.isDebugEnabled()) {            logger.debug("Requested session ID "                + request.getRequestedSessionId() + " has expired.");          }          //執(zhí)行登出操作          doLogout(request, response);          //從XML配置中的redirectSessionInformationExpiredStrategy獲取URL重定向信息，頁面跳轉到登錄頁面          this.sessionInformationExpiredStrategy.onExpiredSessionDetected(new SessionInformationExpiredEvent(info, request, response));          return;        }        else {          // Non-expired - update last request date/time          sessionRegistry.refreshLastRequest(info.getSessionId());        }      }    }    chain.doFilter(request, response);  }

5、A處用戶只能再次登錄，這時B處用戶session將會失效重登，如此循環(huán)

關于SpringSecurity中怎么禁止用戶重復登陸問題的解答就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注創(chuàng)新互聯(lián)行業(yè)資訊頻道了解更多相關知識。