通过注销使Spring Security会话失效

Question

只是一个关于Spring Security性和会话失效的问题。

当会话被ConcurrentSessionControlStrategy无效时，会话将通过调用removeSessionInformation方法从SessionRegistry中移除；然而，当会话被手动注销无效时，HttpSession也会无效，但不会调用SessionRegistry从那里移除条目。

我添加了HttpSessionEventPublisher作为侦听器，它捕获HttpSessionDestroyedEvent事件，但同样没有调用SessionRegistry。

顺便说一下，这使用的是Spring Security 3.1.0。

Answer 1

我也有同样的问题。在我的例子中，解决方案是将SessionRegistry创建为一个单独的spring bean。ConcurrentSessionControlStrategy保存到注册表的链接，因此可以直接从注册表中删除无效的会话。但是SecurityContextLogouthHandler使用Session.invalidate()，所以SessionDestroyservlet事件由servlet容器提供给HttpSessionEventPublisher，但是HttpSessionDestroyDevent发布到Spring上下文的HttpSessionEventPublisherSessionRegistry

此安全配置不起作用：

...
SessionRegistry sessionRegistry = new SessionRegistryImpl();
ConcurrentSessionControlStrategy concurrentSessionControlStrategy = new ConcurrentSessionControlStrategy(sessionRegistry);
...

这个很好用：

@Bean
public SessionRegistry sessionRegistry() {
    return new SessionRegistryImpl();
}
...
ConcurrentSessionControlStrategy concurrentSessionControlStrategy = new ConcurrentSessionControlStrategy(sessionRegistry())
...