最近做一个项目，安全框架采用spring security 。由于业务需要，要限制一个账户只能登录一次，不能在多个浏览器登录，也就是一个账户只能对应一个sessionid。这个很好实现，配置上默认的 session并发策略ConcurrentSessionControlAuthenticationStrategy类，设置maximumSessions值为1。代码如下：
<sec:http use-expressions="false" auto-config="true"> <sec:session-management invalid-session-url="/sessionexpired" session-authentication-strategy ref="sas" /> </sec:http> <bean id="sas" class="org.springframework.security.web.authentication.session.CompositeSessionAuthenticationStrategy"> <constructor-arg> <list> <bean class="org.springframework.security.web.authentication.session.ConcurrentSessionControlAuthenticationStrategy"> <constructor-arg ref="sessionRegistry" /> <property name="maximumSessions" value="1" /> <property name="exceptionIfMaximumExceeded" value="false" /> </bean> </list> </constructor-arg> </bean>
但是这样如果账户a在一个地方登录，然后又换另外一个地方登录，后登录的会导致前一个用户session失效，也就是会踢掉前面登录的用户。这样是不允许的，而需要要求是，可以根据用户某个状态来判断，如果用户处在空闲状态，就允许同一个账号后登录的踢掉前面登录的，如果是繁忙状态就不允许登录。经过研究ConcurrentSessionControlAuthenticationStrategy类的源码，获得灵感，自定义一个SessionAuthenticationStrategy的实现类CloudqControlAuthenticationStrategy，里面增加状态判断，如果不满足条件就抛出异常，问题就可以解决了。配置代码如下：
<bean id="sas" class="org.springframework.security.web.authentication.session.CompositeSessionAuthenticationStrategy"> <constructor-arg> <list> <bean class="com.raymon.cloudq.security.CloudqControlAuthenticationStrategy"> </bean> <bean class="org.springframework.security.web.authentication.session.ConcurrentSessionControlAuthenticationStrategy"> <constructor-arg ref="sessionRegistry" /> <property name="maximumSessions" value="1" /> <property name="exceptionIfMaximumExceeded" value="false" /> </bean> </list> </constructor-arg> </bean>
自定义策略代码：
public class CloudqControlAuthenticationStrategy implements SessionAuthenticationStrategy { private org.slf4j.Logger logger = LoggerFactory.getLogger(getClass()); @Override public void onAuthentication(Authentication authentication, HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse) throws SessionAuthenticationException { AuthUserDetails authUserDetails=(AuthUserDetails)authentication.getPrincipal(); Integer branchesId=authUserDetails.getClientEmpUser().getBranchesId(); Integer empId=authUserDetails.getClientEmpUser().getEmpId(); if(条件不满足){//抛出异常 throw new SessionAuthenticationException(message); } } }
注意自定义策略的放置顺序要在其他策略前面，否则可能会造成自己的业务逻辑执行过晚，进而达不到目的。
