springSecurity限制多用户登录

​

​ 限制用户多次登录的原理就是，每次用户登录时，将用户的sessionId存储起来，下次在登录时检查已经存在的sessionId列表里此用户登陆了几次，就能据此做处理了。

​ 最简单的就像这样设置，这样做以后后面登录的会将前面最近未使用的session挤掉。

http.sessionManagement().maximumSessions(1);

​

​ 如果想要禁止后面人的登录，而不是挤掉前面的人，可以这么做。可以拒绝后面登录的请求。这么做前面的人只是关闭浏览器而没有退出，也是处于在线状态的，后面人也是无法登录的。

http.sessionManagement().maximumSessions(1).maxSessionsPreventsLogin(true);

​ 但是还有一个问题，被挤掉的人的session信息仍然存储在SessionRegistry里，需要配置一个监听器，监听到session死亡时将其删除。这里只需要配置一个监听器即可。

​ 这个监听器在监听到session死亡时，会发送事件通知。

@Bean
  public HttpSessionEventPublisher httpSessionEventPublisher(){
      return new HttpSessionEventPublisher();
  }

​ 默认被挤掉的用户再次访问时，会通过write输出一段话，下面这样：

@Override
public void onExpiredSessionDetected(SessionInformationExpiredEvent event)
    throws IOException {
    HttpServletResponse response = event.getResponse();
    response.getWriter().print(
        "This session has been expired (possibly due to multiple concurrent "
        + "logins being attempted as the same user).");
    response.flushBuffer();
}

​

​ 这显然不是我们想要的效果，我么想输出一段json或者重定向到首页这样的操作。那么可以这样配置都可以。下面两种配置方式中选择一个。

    //自定义处理器   
	http.sessionManagement().maximumSessions(1).expiredSessionStrategy(new SessionInformationExpiredStrategy() {
            @Override
            public void onExpiredSessionDetected(SessionInformationExpiredEvent event) throws IOException, ServletException {
                HttpServletResponse response = event.getResponse();
                response.setContentType("application/json");
                response.getWriter().write("{\"status\":\"200\"}");
            }
        });

//或者配置一个链接， 将会重定向到此链接
        http.sessionManagement().maximumSessions(1).expiredUrl("/home");
        

​

​ 会话固定攻击导致的问题

​ 为了防止会话固定攻击，每次登录完成后会改变sessionId。这将导致一个问题，如果在登录状态下，再次调用登录接口，SessionRegistry里会将新登录的sessionId记录下来，但不会删除旧登录的sessionId，因为旧的session只是改Id了，并没有销毁。

解决这个问题可以使用下面的办法。配置会话固定攻击的策略为migrateSession。这样会创建一个新的session，并将旧session里的内容复制进来。这样做会触发session销毁的监听器。

http.sessionManagement().maximumSessions(1)
        .and()
        .sessionFixation().migrateSession();