symfony - 每个帐户允许一个 session

Question

我搜索是否有一种简单的方法可以让 Symfony 3 的每个帐户只允许一个 session ？

目前，我使用 PdoSessionHandler 将 session 存储在数据库中，并且我在 onSecurityInteractiveLogin 事件上有一个监听器。当用户登录时，我在 User 对象中设置 sessionId，并将其持久化到数据库中。

现在，我想这样做:当用户成功登录时，我也停用了之前的 session ，但是如何停用其他 session ？在 Symfony 中，我可以为实际 session 执行此操作，但不能为其他 session 执行此操作...

否则，也许我可以处理 SQL 请求以删除之前的 session ，但是之前的用户丢失了 session 中存储的所有内容，我只想断开他的连接。

另一种方式是相反的:对新用户说:“ session 实际上是通过您的登录打开的，请断开与另一台机器的连接。”，但是如果用户只是关闭他的浏览器(没有点击注销)并在几秒/分钟后带着记住我的 token 回来，例如，他无法登录...并且必须等待几分钟。

如果有人有想法？

Answer 1

我终于做到了:

• 在 SecurityInteractiveLoginListener 中:成功登录后，我在用户记录(数据库)中添加一个带有 session ID 的条目
• 在每个请求 (KernelRequestEvent) 上，我检查用户的 sessionId 是否与数据库中的记录相同，如果是，则它是最后一个连接的用户，否则，已创建另一个 session ，然后我重定向用户在/logout 上，我添加了一条 FlashMessage。

我只是一个关于组织的问题:我有 2 个听众，这是最好的方法吗？或者我需要做一个订阅者，并将 2 个事件分组到一个文件中，因为它具有相同的功能。

在我的 security.yml 中

logout:
    path:   /logout
    target: /
    invalidate_session: false

invalidate_session: false，允许注销时不销毁session，然后我保留session内容，强制用户注销时可以加一个flashbag。

我的服务声明:

app.event_listener.security_interactive_login:
    class: AppBundle\EventListener\SecurityInteractiveLoginListener
    arguments: ["@app.user_manager"]
    tags:
        - { name: kernel.event_listener, event: security.interactive_login }

app.event_listener.kernel_request:
    class: AppBundle\EventListener\KernelRequestListener
    arguments:
        - "@security.token_storage"
        - "@security.authorization_checker"
        - "@session"
        - "@router"
    tags:
        - { name: kernel.event_listener, event: kernel.request, priority: 0 }

SecurityInteractiveLoginListener:

<?php

namespace AppBundle\EventListener;

use AppBundle\Utils\UserManager;
use Symfony\Component\Security\Http\Event\InteractiveLoginEvent;

class SecurityInteractiveLoginListener
{
    private $userManager;

    public function __construct(UserManager $userManager)
    {
        $this->userManager = $userManager;
    }

    public function onSecurityInteractiveLogin(InteractiveLoginEvent $event)
    {
        $request = $event->getRequest();
        $session = $request->getSession();
        $session->has('id'); // Just to fix a bug on Remember Me
        $user = $event->getAuthenticationToken()->getUser();

        // Set the session ID on user and save it in database
        $user->setSessionId($session->getId());
        $this->userManager->updateUser($user);
    }
}

内核请求监听器:

<?php

namespace AppBundle\EventListener;

use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\HttpFoundation\Session\Session;
use Symfony\Component\HttpKernel\Event\GetResponseEvent;
use Symfony\Component\Routing\RouterInterface;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorage;
use Symfony\Component\Security\Core\Authorization\AuthorizationChecker;
use Symfony\Component\Security\Core\Exception\AuthenticationCredentialsNotFoundException;

class KernelRequestListener
{
    private $tokenStorage;
    private $authorizationChecker;
    private $session;
    private $router;

    public function __construct(
        TokenStorage $tokenStorage,
        AuthorizationChecker $authorizationChecker,
        Session $session,
        RouterInterface $router
    ) {
        $this->tokenStorage = $tokenStorage;
        $this->authorizationChecker = $authorizationChecker;
        $this->session = $session;
        $this->router = $router;
    }

    public function onKernelRequest(GetResponseEvent $event)
    {
        if (!$event->isMasterRequest() || !$this->isUserLoggedIn()) {
            return;
        }

        $sessionId = $this->session->getId();
        $user = $this->tokenStorage->getToken()->getUser();

        // If the sessionId and the sessionId in database are equal: this is the latest connected user
        if ($sessionId === $user->getSessionId()) {
            return;
        }

        $this->session->getFlashBag()->add('danger', 'You have been logged out, because another person logged in whith your credentials.');
        $redirectUrl = $this->router->generate('logout');
        $response = new RedirectResponse($redirectUrl);

        $event->setResponse($response);
    }

    protected function isUserLoggedIn()
    {
        try {
            return $this->authorizationChecker->isGranted('IS_AUTHENTICATED_REMEMBERED');
        } catch (AuthenticationCredentialsNotFoundException $exception) {
            // Ignoring this exception.
        }

        return false;
    }
}