Spring Security多个登录用户失败

Question

我正在用Spring、Spring Security和Hibernate制作一个基本的Tic-tac-toe项目。该应用程序可以为数据库中的每个登录用户保存游戏，并允许我们随时加载它。这不是问题，但在涉及多线程时会出现问题。当我在单个浏览器窗口中运行单个应用程序时，一切都很好。但当我打开另一个窗口时，两个玩家正在玩同一个游戏。

我知道这可能是由Spring创建的bean单例引起的，但我确信不是。为了检查当前登录的用户，我做了一个从SecurityContextHolder获取他的方法

private User getUserFromSpringContext() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    String name = authentication.getName();
    System.out.println("Currently logged users = " + name);
    return userService.findUserByUsername(name);
}

当多个用户登录时，该方法只会打印其中一个用户的名称。我不知道为什么。以下是我的安全配置和user详细信息类的一些重要代码行：

安全配置：

@Autowired
UserDetailsService userDetailsService;

@Autowired
public void configureGlobalSecurity(AuthenticationManagerBuilder builder) throws Exception {
    builder.userDetailsService(userDetailsService);
    builder.authenticationProvider(authenticationProvider());
}

@Bean
public DaoAuthenticationProvider authenticationProvider() {
    DaoAuthenticationProvider auth = new DaoAuthenticationProvider();
    auth.setUserDetailsService(userDetailsService);
    return auth;
}

自定义用户详细信息服务

@Autowired
private UserService userService;

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userService.findUserByUsername(username);
    if (user == null) {
        throw new UsernameNotFoundException("Username not found");
    }
    return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), true, true, true, true, getAuthoriries(user));
}

public void setUserService(UserService userService) {
    this.userService = userService;
}

private List<GrantedAuthority> getAuthoriries(User user) {
    List<GrantedAuthority> authorities = new ArrayList<GrantedAuthority>();
    authorities.add(new SimpleGrantedAuthority(user.getRole().getRole()));
    return authorities;
}

有人知道这个问题的原因吗？

在测试期间，我发现了另一个问题。当我单击注销时，所有用户都已注销。我在这里发布了我的Spring Security配置的其余部分。

 @Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/start", "/", "/login", "/registry","/success","/new").permitAll()
            .antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
            .antMatchers("/**").access("hasAnyRole('ROLE_USER','ROLE_ADMIN')")
            .and().formLogin().loginPage("/login").defaultSuccessUrl("/user")
            .and().logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .and().csrf()
            .and().exceptionHandling().accessDeniedPage("/access_denied");
}

有什么问题？

Answer 1

通过SecurityContextHolder，您可以访问与当前线程关联的安全上下文，因此只有当前用户，即其请求触发了对getAuthentication（）调用的用户，因此它的行为完全符合其应有的方式。

另一方面，如果您想要所有活动会话（即所有登录用户），则应插入会话注册表（SessionRegistry）并调用会话注册表（SessionRegistry）。GetAllPrinciples（）。

这里已经给出了详细信息。