Spring Security（13）——session管理

最新推荐文章于 2024-04-21 16:06:55 发布

elim168

最新推荐文章于 2024-04-21 16:06:55 发布

阅读量8.4k

点赞数 1

分类专栏： Spring Security Spring Security简介文章标签： Spring Security session管理个人在线数控制 concurrency-control session-management

本文链接：https://blog.csdn.net/elim168/article/details/72953320

版权

这篇博客详细介绍了Spring Security在session管理方面的功能，包括检测session超时、并发控制和session固定攻击保护。通过配置<security:session-management>元素，可以实现超时重定向、限制同一用户并发登录及防范session固定攻击。对于session超时，可以通过invalid-session-url属性指定重定向页面。在并发控制中，通过max-sessions属性限制并发会话数量，并通过error-if-maximum-exceeded决定超出限制时的行为。同时，文章还讨论了session固定攻击的防护策略，包括migrateSession、none和newSession三种模式。

摘要由CSDN通过智能技术生成

Spring Security通过http元素下的子元素session-management提供了对Http Session管理的支持。

1.1 检测session超时

Spring Security可以在用户使用已经超时的sessionId进行请求时将用户引导到指定的页面。这个可以通过如下配置来实现。

<security:http>

...

<security:session-management invalid-session-url="/session_timeout.jsp"/>

...

</security:http>

需要注意的是session超时的重定向页面应当是不需要认证的，否则再重定向到session超时页面时会直接转到用户登录页面。此外如果你使用这种方式来检测session超时，当你退出了登录，然后在没有关闭浏览器的情况下又重新进行了登录，Spring Security可能会错误的报告session已经超时。这是因为即使你已经退出登录了，但当你设置session无效时，对应保存session信息的cookie并没有被清除，等下次请求时还是会使用之前的sessionId进行请求。解决办法是显示的定义用户在退出登录时删除对应的保存session信息的cookie。

<security:http>

...

<security:logout delete-cookies="JSESSIONID"/>

...

</security:http>

此外，Spring Security并不保证这对所有的Servlet容器都有效，到底在你的容器上有没有效，需要你自己进行实验。