在现有的Spring Boot Spring Security配置中添加spring-session&Redis

Question

@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true)
public class SecurityConfig {

    @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
    @Configuration
    protected static class ApplicationSecurity extends WebSecurityConfigurerAdapter {

        private static final int MAX_CONCURRENT_USER_SESSIONS = 1;

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    //snipped
                    .sessionManagement()
                    .maximumSessions(MAX_CONCURRENT_USER_SESSIONS)
                    .maxSessionsPreventsLogin(true)
                    .sessionRegistry(sessionRegistry());
        }

        @Bean
        public SessionRegistry sessionRegistry() {
            SessionRegistry sessionRegistry = new SessionRegistryImpl();
            return sessionRegistry;
        }

        @Bean
        public static HttpSessionEventPublisher httpSessionEventPublisher() {
            return new HttpSessionEventPublisher();
        }
    }
}

spring-session+spring-boot-starter-redis似乎是一个很好的候选人。

spring-session文档中提到，我们所需要做的就是添加注释@enableRedisHttpSession并定义JedisConnectionFactory。

这确实有效，添加注释会导致会话存储在Redis中，我可以使用Redis-CLI看到这一点。

这意味着当当前用户注销时，试图使用该用户名的另一个会话仍将无法登录，而刚刚注销的用户将无法重新登录。这是因为会话永远不会从注册表/存储库中删除？？？

任何关于如何让我的会话创建/销毁工作，同时使用redis作为存储的洞察力都将非常感谢。

Answer 1

我们目前不支持Spring Security的并发控制和Spring会话。您可以在GitHub上找到一个现存的问题。

一般的想法是使用Spring Session的SessionRepository接口来实现Spring Security的SessionRepository接口。

如果你想提交一个公关，它将非常感谢！