Spring Security框架中踢人下线技术探索

最新推荐文章于 2024-01-23 22:47:29 发布

Java海

最新推荐文章于 2024-01-23 22:47:29 发布

阅读量414

点赞数

文章标签：大数据 java spring

本文链接：https://blog.csdn.net/JHIII/article/details/125693449

版权

本文探讨了在Spring Security框架下，如何实现在用户删除或禁用时踢人下线的功能。通过分析Spring Security和Spring Session的源码，找到了查找和删除Session会话的方法，包括如何根据账号收集Session信息以及如何主动销毁Session。最后，提出了通过创建SessionService接口和实现类来实现踢人下线的解决方案。

摘要由CSDN通过智能技术生成

1.背景

在某次项目的开发中，使用到了Spring Security权限框架进行后端权限开发的权限校验，底层集成Spring Session组件，非常方便的集成Redis进行分布式Session的会话集群部署。系统正式上线后，各个部署节点能够非常方便的进行集群部署，用户的Session会话信息全部保存在Redis中间件库中，开发者不用关心具体的实现，Spring Session组件已经全部集成好了。

但是在系统的用户管理模块中，提供了对系统用户账号的删除功能以及禁用功能,针对这两个功能，需求方给出的具体要求是：

删除：当管理员删除当前用户账号时,如果当前账号已经登录系统,则需要剔除下线，并且不可登录
禁用：当管理员对当前账号禁用操作时，如果当前账号已经登录系统,则需要剔除下线，并且登录时，提示当前账号已禁用

2.需求分析

从上面的需求来看，不管是删除还是禁用功能，都需要实现，如果当前账号已经登录系统，则需要剔除下线，而禁用操作只需要再登录时给出提示信息即可，这个在业务登录方法中就可以实现，不必从底层框架进行考虑。

因此，从底层技术测进行考虑时，我们需要探索如何在Spring Security权限框架中实现踢人下线的功能。

既然需求已经明确，从功能的实现可能性方面入手，我们则需要从几个方面进行考虑：

1)、在Spring Security框架中，用户登录的Session会话信息存储在哪里？
2)、在Spring Security框架中，Session会话如何存储，主要存储哪些信息?
3)、如何根据账号收集当前该账号登录的所有Session会话信息？
4)、如何在服务端主动销毁Session对象？

1)、在Spring Security框架中，用户登录的Session会话信息存储在哪里？

如果我们不考虑分布式Session会话的情况，单体Spring Boot项目中，服务端Session会话肯定存储在内存中，这样的弊端是如果当前应用需要做负载均衡进行部署时,用户请求服务端接口时，会存在Session会话丢失的情况，因为用户登录的会话信息都存在JVM内存中，没有进程之间的共享互通。

为了解决分布式应用Session会话不丢失的问题,Spring Session组件发布了，该组件提供了基于JDBC\Redis等中间件的方式，将用户端的Session会话存储在中间件中，这样分布式应用获取用户会话时，都会从中间件去获取会话Session，这样也保证了服务可以做负载部署以保证Session会话不丢失。本文主要讨论的也是这种情况,集成Redis中间件用来保存用户会话信息。

2)、在Spring Security框架中，Session会话如何存储，主要存储哪些信息?

由于我们使用了Redis中间件，所以，在Spring Security权限框架中产生的Session会话信息，肯定存储与Redis中，这点毫无疑问，那么存储了哪些信息呢？我会在接下来的源码分析中进行介绍

3)、如何根据账号收集当前该账号登录的所有Session会话信息？

我们从上面的需求分析中已经得知Session会话已经存储在Redis中，那么我们是否可以做这样的假设，我们只需要根据Spring Security中在Redis中存储的键值，找到和登录用户名相关的Redis缓存数据，就可以通过调用Security封装的方法进行获取，得到当前登录账号的会话信息呢？这个我们需要在源码中去找到答案

4)、如何在服务端主动销毁Session对象？

如果是单体的Spring Boot应用，Session信息肯定存储在JVM的内存中，服务端要主动销毁Session对象只需要找到Security权限框架如何存储的就可以进行删除。

在分布式的Spring Boot应用中，我们从上面已经得知Session会话信息以及存储在Redis中间件中，那么我们只需要得到当前登录的Session在Redis中的键值，就可以调用方法进行删除操作，从而主动在服务端销毁Session会话