参考链接:https://xueliang.org/article/detail/20170302232815082

session 管理

Spring Security 通过 http 元素下的子元素 session-management 提供了对 Http Session 管理的支持。

检测 session 超时

Spring Security 可以在用户使用已经超时的 sessionId 进行请求时将用户引导到指定的页面。这个可以通过如下配置来实现。

  1. <security:http>
  2. ...
  3. <!-- session 管理,invalid-session-url 指定使用已经超时的 sessionId 进行请求需要重定向的页面 -->
  4. <security:session-management invalid-session-url="/session_timeout.jsp"/>
  5. ...
  6. </security:http>

需要注意的是 session 超时的重定向页面应当是不需要认证的,否则再重定向到 session 超时页面时会直接转到用户登录页面。此外如果你使用这种方式来检测 session 超时,当你退出了登录,然后在没有关闭浏览器的情况下又重新进行了登录,Spring Security 可能会错误的报告 session 已经超时。这是因为即使你已经退出登录了,但当你设置 session 无效时,对应保存 session 信息的 cookie 并没有被清除,等下次请求时还是会使用之前的 sessionId 进行请求。解决办法是显示的定义用户在退出登录时删除对应的保存 session 信息的 cookie。

  1. <security:http>
  2. ...
  3. <!-- 退出登录时删除 session 对应的 cookie -->
  4. <security:logout delete-cookies="JSESSIONID"/>
  5. ...
  6. </security:http>

此外,Spring Security 并不保证这对所有的 Servlet 容器都有效,到底在你的容器上有没有效,需要你自己进行实验。

concurrency-control

通常情况下,在你的应用中你可能只希望同一用户在同时登录多次时只能有一个是成功登入你的系统的,通常对应的行为是后一次登录将使前一次登录失效,或者直接限制后一次登录。Spring Security 的 session-management 为我们提供了这种限制。

首先需要我们在 web.xml 中定义如下监听器。

  1. <listener>
  2. <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
  3. </listener>

在 session-management 元素下有一个 concurrency-control 元素是用来限制同一用户在应用中同时允许存在的已经通过认证的 session 数量。这个值默认是 1,可以通过 concurrency-control 元素的 max-sessions 属性来指定。

  1. <security:http auto-config="true">
  2. ...
  3. <security:session-management>
  4. <security:concurrency-control max-sessions="1"/>
  5. </security:session-management>
  6. ...
  7. </security:http>

当同一用户同时存在的已经通过认证的 session 数量超过了 max-sessions 所指定的值时,Spring Security 的默认策略是将先前的设为无效。如果要限制用户再次登录可以设置 concurrency-control 的 error-if-maximum-exceeded 的值为 true。

  1. <security:http auto-config="true">
  2. ...
  3. <security:session-management>
  4. <security:concurrency-control max-sessions="1" error-if-maximum-exceeded="true"/>
  5. </security:session-management>
  6. ...
  7. </security:http>

设置 error-if-maximum-exceeded 为 true 后如果你之前已经登录了,然后想再次登录,那么系统将会拒绝你的登录,同时将重定向到由 form-login 指定的 authentication-failure-url。如果你的再次登录是通过 Remember-Me 来完成的,那么将不会转到 authentication-failure-url,而是返回未授权的错误码 401 给客户端,如果你还是想重定向一个指定的页面,那么你可以通过 session-management 的 session-authentication-error-url 属性来指定,同时需要指定该 url 为不受 Spring Security 管理,即通过 http 元素设置其 secure=”none”。

  1. <security:http security="none" pattern="/none/**" />
  2. <security:http>
  3. <security:form-login/>
  4. <security:logout/>
  5. <security:intercept-url pattern="/**" access="ROLE_USER"/>
  6. <!-- session-authentication-error-url 必须是不受 Spring Security 管理的 -->
  7. <security:session-management session-authentication-error-url="/none/session_authentication_error.jsp">
  8. <security:concurrency-control max-sessions="1" error-if-maximum-exceeded="true"/>
  9. </security:session-management>
  10. <security:remember-me data-source-ref="dataSource"/>
  11. </security:http>

在上述配置中我们配置了 session-authentication-error-url 为 “/none/session_authentication_error.jsp”,同时我们通过 指定了以 “/none” 开始的所有 URL 都不受 Spring Security 控制,这样当用户进行登录以后,再次通过 Remember-Me 进行自动登录时就会重定向到 “/none/session_authentication_error.jsp” 了。

在上述配置中为什么我们需要通过 指定我们的 session-authentication-error-url 不受 Spring Security 控制呢?把它换成 不行吗?这就涉及到之前所介绍的它们两者之间的区别了。前者表示不使用任何 Spring Security 过滤器,自然也就不需要通过 Spring Security 的认证了,而后者是会被 Spring Security 的 FilterChain 进行过滤的,只是其对应的 URL 可以匿名访问,即不需要登录就可访问。使用后者时,REMEMBER_ME_FILTER 检测到用户没有登录,同时其又提供了 Remember-Me 的相关信息,这将使得 REMEMBER_ME_FILTER 进行自动登录,那么在自动登录时由于我们限制了同一用户同一时间只能登录一次,后来者将被拒绝登录,这个时候将重定向到 session-authentication-error-url,重定向访问 session-authentication-error-url 时,经过 REMEMBER_ME_FILTER 时又会自动登录,这样就形成了一个死循环。所以 session-authentication-error-url 应当使用 设置为不受 Spring Security 控制,而不是使用 。

此外,可以通过 expired-url 属性指定当用户尝试使用一个由于其再次登录导致 session 超时的 session 时所要跳转的页面。同时需要注意设置该 URL 为不需要进行认证。

  1. <security:http auto-config="true">
  2. <security:form-login/>
  3. <security:logout/>
  4. <security:intercept-url pattern="/expired.jsp" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
  5. <security:intercept-url pattern="/**" access="ROLE_USER"/>
  6. <security:session-management>
  7. <security:concurrency-control max-sessions="1" expired-url="/expired.jsp" />
  8. </security:session-management>
  9. </security:http>

session 固定攻击保护

session 固定是指服务器在给客户端创建 session 后,在该 session 过期之前,它们都将通过该 session 进行通信。session 固定攻击是指恶意攻击者先通过访问应用来创建一个 session,然后再让其他用户使用相同的 session 进行登录(比如通过发送一个包含该 sessionId 参数的链接),待其他用户成功登录后,攻击者利用原来的 sessionId 访问系统将和原用户获得同样的权限。Spring Security 默认是对 session 固定攻击采取了保护措施的,它会在用户登录的时候重新为其生成一个新的 session。如果你的应用不需要这种保护或者该保护措施与你的某些需求相冲突,你可以通过 session-management 的 session-fixation-protection 属性来改变其保护策略。该属性的可选值有如下三个。

  • migrateSession:这是默认值。其表示在用户登录后将新建一个 session,同时将原 session 中的 attribute 都 copy 到新的 session 中。
  • none:表示继续使用原来的 session。
  • newSession:表示重新创建一个新的 session,但是不 copy 原 session 拥有的 attribute。

Spring Security 入门(1-7)Spring Security - Session管理的更多相关文章

  1. spring boot 入门一 构建spring boot 工程

    最近在学习Spring boot,所以想通过博客的形式和大家分享学习的过程,同时也为了更好的学习技术,下面直接进入Spring boot的世界. 简介 spring boot 它的设计目的就是为例简化 ...

  2. spring Boot 入门--为什么用spring boot

    为什么用spring boot 回答这个问题不得不说下spring 假设你受命用Spring开发一个简单的Hello World Web应用程序.你该做什么? 我能想到一些 基本的需要.  一个项目 ...

  3. Spring Security构建Rest服务-1100-单机Session管理

    Session失效时间: springboot配置session失效时间,只需要在application.properties里配置 #session超时时间,低于60秒按60秒server.sess ...

  4. Spring Boot入门篇(基于Spring Boot 2.0系列)

    1:概述: Spring Boot是用来简化Spring应用的初始化开发过程. 2:特性: 创建独立的应用(jar|war形式); 需要用到spring-boot-maven-plugin插件 直接嵌 ...

  5. 通过Spring Session实现新一代的Session管理

    长期以来,session管理就是企业级Java中的一部分,以致于我们潜意识就认为它是已经解决的问题,在最近的记忆中,我们没有看到这个领域有很大的革新. 但是,现代的趋势是微服务以及可水平扩展的原生云应 ...

  6. 转:通过Spring Session实现新一代的Session管理

    长期以来,session管理就是企业级Java中的一部分,以致于我们潜意识就认为它是已经解决的问题,在最近的记忆中,我们没有看到这个领域有很大的革新. 但是,现代的趋势是微服务以及可水平扩展的原生云应 ...

  7. Spring框架学习(7)spring mvc入门

    内容源自:spring mvc入门 一.spring mvc和spring的关系 spring mvc是spring框架提供的七层体系架构中的一个层,是spring框架的一部分,是spring用于处理 ...

  8. 通过 Spring Session 实现新一代的 Session 管理

    长期以来,session 管理就是企业级 Java 中的一部分,以致于我们潜意识就认为它是已经解决的问题,在最近的记忆中,我们没有看到这个领域有很大的革新. 但是,现代的趋势是微服务以及可水平扩展的原 ...

  9. Spring Security 入门

    一.Spring Security简介 Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架.它提供了一组可以在Spring应用上下文中配 ...

随机推荐

  1. 用js制作日期 2017-03-23

    日期表: <body> <select id="year" ></select>年 <select id="month" ...

  2. Ubuntu下sudo命令出现无法解析主机名

    替换hosts文件后sudo命令提示 无法解析主机名 把hosts文件中127.0.0.1后的名字改为主机名,即 /etc/hostname 中的名字

  3. Java基本包装类型

    基本类型的对象包装,也就是将常用的基本数据类型包装成对象 byte Byte short Short int Integer long Long boolean Boolean float Float ...

  4. 二分查找(binary search)java实现及时间复杂度

    概述 在一个已排序的数组seq中,使用二分查找v,假如这个数组的范围是[low...high],我们要的v就在这个范围里.查找的方法是拿low到high的正中间的值,我们假设是m,来跟v相比,如果m& ...

  5. Nginx+Tomcat 配置负载均衡集群

    一.Hello world 1.前期环境准备 准备两个解压版tomcat,如何同时启动两个tomcat,请看我的另一篇文章<一台机器同时启动多个tomcat>. nginx官网下载解压版n ...

  6. ASP.NET Core 2.0 : 八.图说管道

    本文通过一张GIF动图来继续聊一下ASP.NET Core的请求处理管道,从管道的配置.构建以及请求处理流程等方面做一下详细的研究.(ASP.NET Core系列目录) 一.概述 上文说到,请求是经过 ...

  7. centos下mongodb备份(dump)与还原(restore)

    数据服务器,数据库采用mongodb数据库 安装:通过增加配置安装mongodb-org,版本为3.0.7,yum安装            yum install mongodb-org 数据备份与 ...

  8. js 关于日期,字符串转化

    <html><head><title>简单获取日期的JS</title><meta http-equiv="Content-Type&q ...

  9. http的CA证书安装(也就是https)

    近几年随着安全意识的提高,https流行起来,很多小伙伴不太了解https是什么,其实http和https并没有区别,简单的来说,https就是将http通信进行了加密和解密的一个过程.加上谷歌浏览器 ...

  10. 微信公众号报错 config:invalid signature

    官方已经提供了微信 JS 接口签名校验工具(http://mp.weixin.qq.com/debug/cgi-bin/sandbox?t=jsapisign),填入相应的参数就能出来相应的signa ...