java - 如何在客户端 IP 地址更改时使 session 失效

Question

如果用户的 IP 地址发生更改，我会尝试使用户 session 无效(我想强制用户在整个 session 期间保持相同的 IP 地址，否则他们需要重新进行身份验证)。我假设 Spring Security 内置了一个功能来实现这一点，但我似乎找不到它。

实现此要求的最优雅的方式是什么(最好通过 Spring Security 的配置)？

Answer 1

我在 Spring Security 中找不到任何内置功能来将 session 绑定(bind)到 IP，但使用自定义过滤器可以轻松实现:

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
    boolean chainCompleted = implementEnforcement(request, response);
    if (!chainCompleted) {
        filterChain.doFilter(request, response);
    }
}

private boolean implementEnforcement(HttpServletRequest request, HttpServletResponse response) throws IOException {
    final String key = "enforcement.ip";
    HttpSession session = request.getSession(false);
    if (session != null) {
        // we have a session
        String ip = request.getRemoteAddr();
        String ipInSession = session.getAttribute(key);
        if (ipInSession == null) {
            session.setAttribute(key, ip);
        } else {
            if (!ipInSession.equals(ip)) {
                // JSESSIONID is the same, but IP has changed
                // invalidate the session because there is a probability that it is
                // a session hijack
                session.invalidate();
                // a redirection to some page (probably to context root) may be added here
                return true;
            }
        }
    }
    return false;
}

它会记住用户的 IP 地址，然后将当前 IP 与记住的 IP 地址进行比较:如果不同，则 session 将被销毁。