Spring Security的Session管…

为保证用户的session安全，Spring Security可以配置以使用户同时单次在线。

也就是说，一个登陆用户只允许出现在一个session中。

第一步，在web.xml中配置session监听器监听session的声明周期。

  <listener>

   
<listener-class>

     
org.springframework.security.web.session.HttpSessionEventPublisher

   
</listener-class>

  </listener>

第二步：在spring security配置文件中配置session管理器：

 <http>

    ...

   
<session-management>

     
  <concurrency-control
max-sessions="1" />

   
</session-management>

  </http>

这样就会阻止一个用户登陆多次了，第二次登陆会导致第一次登陆无效，也就是会覆盖第一次登陆。

第三步：如果是想直接阻止第二次登陆，假如第一次登陆会话未过时的情况下，这样配置：

<http>

    ...

   
<session-management>

     
  <concurrency-control
max-sessions="1" error-if-maximum-exceeded="true"
/>

   
</session-management>

  </http>