springboot＋security 动态权限修改session立即失效（六）

这个是springboot结合security 系列的第六篇博客了，不知不觉已经写了6篇了。中间有写的很不好，不尽人意。文章的排列也是我遇见问题，解决问题的过程，希望大家见谅。

这不，最近出现了这个问题， 一个管理员A登录后，在进行操作，此时管理员B 修改了管理员A 的权限，将管理员A 修改为普通用户，但此时管理员A，需要重新登录权限修改才会起效，但是管理员A此时没有退出登录，还可以进行操作，这就是很危险的问题了。

为了解决这个问题，需要修改管理员A 的权限的时候将管理员A的session 置为无效，强制其登录。

解决思路：

我门都知道当用户登录以后security 会把生成的session 放到 SessionRegistry 里面。那么我门想让session 失效只用找到对应的session，然后将它从SessionRegistry 中剔除出去就好了。

但是查看了源码发现SessionRegistry 是 final 。。。。。这个可怎么办呢？

自己new 一个对象吧，所以我就new SessionRegistry(),并用我自己的SessionRegistry管理session 咯

做法如下：

1. 新配置一个bean

@Bean
public SessionRegistry getSessionRegistry(){
SessionRegistry sessionRegistry=new SessionRegistryImpl();
return sessionRegistry;
}

2. 修改WebSecurityConfig

然后在WebSecurityConfig的configure(HttpSecurity http) 方法中添加session管理

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
private UrlUserService urlUserService;
@Autowired
SessionRegistry sessionRegistry;

@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf().disable()
.authorizeRequests()
.antMatchers("/login").permitAll()
.antMatchers("/logout").permitAll()
.antMatchers("/images/**").permitAll()
.antMatchers("/js/**").permitAll()
.antMatchers("/css/**").permitAll()
.antMatchers("/fonts/**").permitAll()
.antMatchers("/favicon.ico").permitAll()
.antMatchers("/").permitAll()
.anyRequest().authenticated()
.and()
.sessionManagement().maximumSessions(1).sessionRegistry(sessionRegistry)
.and()
.and()
.logout()
.and()
.httpBasic();
}   }

3. 使session失效

此时已经完成了一大半了。

只用在修改用户的方法里判断有没有修改用户的权限，如果有修改用户的权限就使session失效。

session失效代码如下：

private void invalidateSession(User user){
List<Object> o= sessionRegistry.getAllPrincipals();
for (Object principal : o) {
if (principal instanceof User) {
final User loggedUser = (User) principal;
if (user.getUsername().equals(loggedUser.getUsername())) {
List<SessionInformation> sessionsInfo = sessionRegistry.getAllSessions(principal, false);
if (null != sessionsInfo && sessionsInfo.size() > 0) {
for (SessionInformation sessionInformation : sessionsInfo) {
sessionInformation.expireNow();
}
}
}
}
}
}

本文代码稍后会提交到 ：https://github.com/527515025/springBoot