Spring Security 07 会话管理

小咪咪 2024-03-22 13:26 9阅读 0赞

当浏览器调用登录接口登录成功后，服务端会和浏览器之间建立一个会话 (Session) 浏览器在每次发送请求时都会携带一个 Sessionld，服务端则根据这个 Sessionld 来判断用户身份。当浏览器关闭后，服务端的 Session 并不会自动销毁，需要开发者手动在服务端调用 Session销毁方法，或者等 Session 过期时间到了自动销毁。在Spring Security 中，与HttpSession相关的功能由 SessionManagementFiter 和SessionAutheaticationStrateey 接口来处理，SessionManagomentFilter 过滤器将 Session 相关操作委托给 SessionAuthenticationStrateey 接口去完成。

会话并发管理就是指在当前系统中，同一个用户可以同时创建多少个会话，如果一个设备对应一个会话，那么也可以简单理解为同一个用户可以同时在多少台设备上进行登录。默认情况下，同一用户在多少台设备上登录并没有限制，不过开发者可以在 Spring Security 中对此进行配置。

/**
     * @Author: chenyang
     * @DateTime: 2023/2/28 14:19
     * @Description: session 并发处理类
     *  前提：Session 并发处理的配置为 maxSessionsPreventsLogin(false)
     *  用户的并发 Session 会话数量达到上限，新会话登录后，最老会话会在下一次请求中失效，并执行此策略
     */
    public class SessionExpiredHandler implements SessionInformationExpiredStrategy {
    
        @Override
        public void onExpiredSessionDetected(SessionInformationExpiredEvent event) throws IOException, ServletException {
            HttpServletResponse response = event.getResponse();
            response.setContentType("application/json;charset=UTF-8");
            Map<String, Object> result = new HashMap<>();
            result.put("status", 500);
            result.put("msg", "当前会话已经失效,请重新登录!");
            String s = new ObjectMapper().writeValueAsString(result);
            response.getWriter().println(s);
            response.flushBuffer();
        }
    }

### 会话共享 ###

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-data-redis</artifactId>
    </dependency>
    
    <dependency>
        <groupId>org.springframework.session</groupId>
        <artifactId>spring-session-data-redis</artifactId>
    </dependency>

/**
         * 配置 Session 的监听器（注意：如果使用并发 Session 控制，一般都需要配置该监听器）
         * 解决 Session 失效后, SessionRegistry 中 SessionInformation 没有同步失效的问题
         *
         * @return
         */
        @Bean
        public HttpSessionEventPublisher httpSessionEventPublisher() {
            return new HttpSessionEventPublisher();
        }
    
        /**
         * 注册 SessionRegistry，该 Bean 用于管理 Session 会话并发控制
         * 默认为 SessionRegistryImpl 实现类
         *
         * @return
         */
        @Bean
        public SessionRegistry sessionRegistry() {
            return new SessionRegistryImpl();
        }
    
        /**
         * 当配置了.maximumSessions(1).maxSessionsPreventsLogin(false)要求只能一个用户 Session 登录时，
         * 我们在两个地方使用相同的账号，并且都勾选 remember-me 进行登录。
         * 最老会话的下一次请求不但会使老会话强制失效，还会使数据库中所有该用户的所有 remember-me 记录被删除
         *
         * @param http
         * @return
         * @throws Exception
         */
        @Bean
        public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
            http.authorizeHttpRequests()
                    .mvcMatchers("/index").permitAll()
                    .mvcMatchers("/hello").authenticated()
                    .and().formLogin();
    
            http.rememberMe();
    
            // session 管理
            http.sessionManagement() // 开启会话管理
                    .maximumSessions(1) // 允许同一个用户只允许创建一个会话
                    .expiredSessionStrategy(new SessionExpiredHandler()) // session 失效处理类
                    .sessionRegistry(sessionRegistry()) // session 存储策略
                    .maxSessionsPreventsLogin(false);// 登录之后禁止再次登录
            
            return http.build();
        }

登入成功后查看 redis

![70390d9939354930977f84f8afd8a954.png][]

[70390d9939354930977f84f8afd8a954.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e1e4a55ef13f4d5c9d7d173ebcf1660a.png