java - 针对特殊用户的 maxSession 配置预防

Question

我是 Spring Security 的新手，对 Spring Security 中的 session 管理有疑问。我已经像这样配置了我的应用程序，以防止在特定时刻通过用户名多次登录:

<bean id="sas" class="security.SessionAuthenticationStrategy">
    <constructor-arg ref="sessionRegistry"/>
    <property name="maximumSessions" value="1" />
    <property name="exceptionIfMaximumExceeded" value="true"/>
</bean>

我想知道是否可以在 Spring Security 中阻止特殊用户的这种配置。

Answer 1

可以通过在自定义子类中重写ConcurrentSessionControlStrategy.getMaximumSessionsForThisUser()来实现。引用自it's javadoc :

Method intended for use by subclasses to override the maximum number of sessions that are permitted for a particular authentication. The default implementation simply returns the maximumSessions value for the bean.

然后通过以下方式引用您的自定义实现:

<security:session-management 
  session-authentication-strategy-ref="customConcurrentSessionControlStrategy"/>