SpringSecurity-11-只允许一个用户登录

概述

文章介绍了如何通过 Spring Security 实现每个用户仅允许一个 Session 的功能，包括两种场景：一是同用户在第二个地方登录时将第一个登录下线，二是同用户在第二个地方登录时禁止二次登录。文章详细说明了实现步骤、源码配置以及测试方法，并讨论了解决同一用户重复登录问题和退出后的重复登录问题。

场景一：第二次登录将之前登录下线

实现步骤包括：

• 重构 LearnSrpingSecurity 的 configure(HttpSecurity http) 方法，设置最大 Session 数为 1，并定义 SessionInformationExpiredStrategy。
• 自定义 SessionInformationExpiredStrategy 实现类，用于在用户达到最大 Session 数时执行下线操作。
• 在配置类中注入自定义的 SessionInformationExpiredStrategy。

测试方法：分别使用谷歌浏览器和火狐浏览器登录同一账户后，刷新第一次登录的页面，会提示用户被下线并回到登录页面。

场景二：禁止二次登录

实现步骤：

• 在 LearnSrpingSecurity 中添加 .maxSessionsPreventsLogin(true) 配置，禁止用户在超过最大 Session 数时再次登录。

测试方法：使用谷歌浏览器登录后，尝试使用火狐浏览器登录同一账户，会提示不允许登录。

解决同一用户重复登录问题

问题描述：系统允许使用用户名和手机号同时登录同一个用户，导致重复登录。
解决方法：在 SmsCodeSecurityConfig 中指定与用户名密码登录相同的 SessionAuthenticationStrategy 实现类 CompositeSessionAuthenticationStrategy，确保手机号登录也遵循同一 Session 管理规则。

退出后的重复登录问题

问题描述：配置了 .maxSessionsPreventsLogin(true) 后，用户退出系统后再次登录时仍提示不能重复登录。
原因分析：退出时未清除 SessionRegistryImpl.principals 中缓存的用户信息。
解决方法：在退出逻辑中确保清除用户缓存数据，以避免重复登录的限制。

源码分析

每次登录请求会调用 ConcurrentSessionControlAuthenticationStrategy#onAuthentication，判断用户是否已存在 Session。如果超过最大 Session 数则抛异常。文章分析了退出未清除缓存导致问题的核心原因，并提供了相关解决方案。

作为软件工程师，给年轻时的自己的建议（下）

了解更多

springboot葵花宝典

查看原文：SpringSecurity-11-只允许一个用户登录

文章来源：

springboot葵花宝典

扫码关注公众号