我的shiro之旅: 十二 shiro 踢出用户(同一用户只能一处登录)

博客已移至 http://blog.gogl.top

看了一下官网，没有找到关于如何控制同一用户只能一处登录的介绍，网上也没有找到相关的文章。可能有些人会记录用户的登录信息，然后达到踢出用户的效果。这里介绍一个更简单的方法。

如果我们跟shiro的源码，我们可以看到。当用户登录成功后，shiro会把用户名放到session的attribute中，key为DefaultSubjectContext_PRINCIPALS_SESSION_KEY，这个key的定义是在shiro的org.apache.shiro.subject.support.DefaultSubjectContext中，这个类有三个public的静态属性，其他都为private。其中PRINCIPALS_SESSION_KEY这个属性记录的是用户名，而AUTHENTICATED_SESSION_KEY属性记录的是用户认证，当用户登录成功后，这个attribute的值是true。

曾经我想把AUTHENTICATED_SESSION_KEY这个attribute的值设置为false，表示用户是退出状态，这样达到退出用户的目的，不过没有成功，shiro判断用户是否是登录状态并不从这里判断。不过既然我们可以通过用户名可以找到用户对应的session，也很容易将该session删除，让用户重新建立一个新的sesison。这里给出一个帮助类，带有跳出用户的功能。

        

package com.concom.security.infrastructure.helper;

import java.util.Collection;

import org.apache.commons.lang.StringUtils;
import org.apache.shiro.Secur