session管理

最新推荐文章于 2022-12-04 11:07:40 发布

悠然予夏

最新推荐文章于 2022-12-04 11:07:40 发布

阅读量682

点赞数

本文链接：https://blog.csdn.net/weixin_52851967/article/details/125830796

版权

SpringSecurity 专栏收录该内容

11 篇文章 3 订阅

订阅专栏

Spring Security可以与Spring Session库配合使用，只需要做一些简单的配置就可以实现一些功能，如(会话过期、一个账号只能同时在线一个、集群session等)

1、会话超时

配置session会话超时时间，默认为30分钟，但是Spring Boot中的会话超时时间至少为60秒

#session设置
#配置session超时时间
server.servlet.session.timeout=60

当session超时后, 默认跳转到登录页面（默认方式）

自定义设置session超时后地址

设置session管理和失效后跳转地址

http.sessionManagement() //设置session管理
.invalidSessionUrl("/toLoginPage") // session无效后跳转的路径,默认是登录页面

2、并发控制

并发控制即同一个账号同时在线个数,同一个账号同时在线个数如果设置为1表示，该账号在同一时间内只能有一个有效的登录，如果同一个账号又在其它地方登录，那么就将上次登录的会话过期，即后面的登录会踢掉前面的登录

2.1、修改超时时间

#session设置
#配置session超时时间
server.servlet.session.timeout=600

2.2、设置最大会话数量

http.sessionManagement() // 设置session管理
                .invalidSessionUrl("/toLoginPage") // session失效之后跳转的路径
                .maximumSessions(1)// session最大会话数量 1代表同一时间只能有一个用户登录
                .maxSessionsPreventsLogin(true) // 达到最大会话数量，就停止登录
                .expiredUrl("/toLoginPage"); // session过期之后跳转的路径

2.3、阻止用户第二次登录

sessionManagement也可以配置 maxSessionsPreventsLogin：boolean值，当达到maximumSessions设置的最大会话个数时阻止登录。

3、集群session

实际场景中一个服务会至少有两台服务器在提供服务，在服务器前面会有一个nginx做负载均衡，用户访问nginx，nginx再决定去访问哪一台服务器。当一台服务宕机了之后，另一台服务器也可以继续提供服务，保证服务不中断。如果我们将session保存在Web容器(比如tomcat)中，如果一个用户第一次访问被分配到服务器1上面需要登录，当某些访问突然被分配到服务器二上，因为服务器二上没有用户在服务器一上登录的会话session信息，服务器二还会再次让用户登录，用户已经登录了还让登录就感觉不正常了。

解决这个问题的思路是用户登录的会话信息不能再保存到Web服务器中，而是保存到一个单独的库(redis、mongodb、jdbc等)中，所有服务器都访问同一个库，都从同一个库来获取用户的session信息，如用户在服务器一上登录，将会话信息保存到库中，用户的下次请求被分配到服务器二，服务器二从库中检查session是否已经存在，如果存在就不用再登录了，可以直接访问服务了。

3.1、引用依赖

<!-- 基于redis实现session共享 -->
<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>