(window.webpackJsonp=window.webpackJsonp||[]).push([[602],{1033:function(e,t,s){"use strict";s.r(t);var n=s(56),a=Object(n.a)({},(function(){var e=this,t=e.$createElement,s=e._self._c||t;return s("ContentSlotsDistributor",{attrs:{"slot-key":e.$parent.slotKey}},[s("h1",{attrs:{id:"会话管理"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#会话管理"}},[e._v("#")]),e._v(" 会话管理")]),e._v(" "),s("h2",{attrs:{id:"检测超时"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#检测超时"}},[e._v("#")]),e._v(" 检测超时")]),e._v(" "),s("p",[e._v("你可以配置 Spring 安全性以检测无效会话ID 的提交，并将用户重定向到适当的 URL。这是通过"),s("code",[e._v("session-management")]),e._v("元素实现的：")]),e._v(" "),s("p",[e._v("爪哇")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('@Override\nprotected void configure(HttpSecurity http) throws Exception{\n    http\n        .sessionManagement(session -> session\n            .invalidSessionUrl("/invalidSession.htm")\n        );\n}\n')])])]),s("p",[e._v("XML")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n...\n<session-management invalid-session-url="/invalidSession.htm" />\n</http>\n')])])]),s("p",[e._v("请注意，如果你使用此机制来检测会话超时，那么如果用户注销并在不关闭浏览器的情况下重新登录，则可能会错误地报告错误。这是因为当你使会话无效时，会话cookie 将不会被清除，并且即使用户已经注销，它也将被重新提交。你可以在注销时显式地删除 JSessionID cookie，例如，在注销处理程序中使用以下语法：")]),e._v(" "),s("p",[e._v("爪哇")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('@Override\nprotected void configure(HttpSecurity http) throws Exception{\n    http\n        .logout(logout -> logout\n            .deleteCookies("JSESSIONID")\n        );\n}\n')])])]),s("p",[e._v("XML")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n<logout delete-cookies="JSESSIONID" />\n</http>\n')])])]),s("p",[e._v("不幸的是，这不能保证在每个 Servlet 容器中都能正常工作，因此你需要在你的环境中对其进行测试。")]),e._v(" "),s("table",[s("thead",[s("tr",[s("th"),e._v(" "),s("th",[e._v("如果你在代理背后运行你的应用程序，你还可以通过配置代理服务器来删除会话cookie。，"),s("br"),e._v("，例如，使用 Apache HTTPD 的 mod_headers，下面的指令将删除"),s("code",[e._v("JSESSIONID")]),e._v("cookie，方法是在对注销请求的响应中使其过期（假设应用程序部署在路径"),s("code",[e._v("/tutorial")]),e._v("下）："),s("br"),s("br"),s("code",[e._v('<br/><LocationMatch "/tutorial/logout"><br/>Header always set Set-Cookie "JSESSIONID=;Path=/tutorial;Expires=Thu, 01 Jan 1970 00:00:00 GMT"<br/></LocationMatch><br/>')])])])]),e._v(" "),s("tbody")]),e._v(" "),s("h2",{attrs:{id:"并行控制会话"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#并行控制会话"}},[e._v("#")]),e._v(" 并行控制会话")]),e._v(" "),s("p",[e._v("如果你希望对单个用户登录到你的应用程序的能力进行限制， Spring Security 通过以下简单的添加来支持这一点。首先，需要将以下监听器添加到配置中，以使 Spring 安全性更新到有关会话生命周期事件的信息：")]),e._v(" "),s("p",[e._v("爪哇")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v("@Bean\npublic HttpSessionEventPublisher httpSessionEventPublisher() {\n    return new HttpSessionEventPublisher();\n}\n")])])]),s("p",[e._v("XML")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v("<listener>\n<listener-class>\n\torg.springframework.security.web.session.HttpSessionEventPublisher\n</listener-class>\n</listener>\n")])])]),s("p",[e._v("然后将以下行添加到你的应用程序上下文中：")]),e._v(" "),s("p",[e._v("爪哇")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v("@Override\nprotected void configure(HttpSecurity http) throws Exception {\n    http\n        .sessionManagement(session -> session\n            .maximumSessions(1)\n        );\n}\n")])])]),s("p",[e._v("XML")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n...\n<session-management>\n\t<concurrency-control max-sessions="1" />\n</session-management>\n</http>\n')])])]),s("p",[e._v("这将防止用户多次登录——第二次登录将导致第一次登录无效。通常情况下，你希望防止第二次登录，在这种情况下，你可以使用")]),e._v(" "),s("p",[e._v("爪哇")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v("@Override\nprotected void configure(HttpSecurity http) throws Exception {\n    http\n        .sessionManagement(session -> session\n            .maximumSessions(1)\n            .maxSessionsPreventsLogin(true)\n        );\n}\n")])])]),s("p",[e._v("XML")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n<session-management>\n\t<concurrency-control max-sessions="1" error-if-maximum-exceeded="true" />\n</session-management>\n</http>\n')])])]),s("p",[e._v("然后，第二次登录将被拒绝。通过“拒绝”，我们的意思是，如果使用基于表单的登录，用户将被发送到"),s("code",[e._v("authentication-failure-url")]),e._v("。如果第二次身份验证是通过另一种非交互式机制进行的，例如“remember-me”，则将向客户端发送一个“未授权的”（401）错误。如果要使用错误页，则可以将属性"),s("code",[e._v("session-authentication-error-url")]),e._v("添加到"),s("code",[e._v("session-management")]),e._v("元素中。")]),e._v(" "),s("p",[e._v("如果你正在为基于表单的登录使用定制的身份验证过滤器，那么你必须显式地配置并发会话控制支持。更多细节可以在"),s("a",{attrs:{href:"#session-mgmt"}},[e._v("Session Management chapter")]),e._v("中找到。")]),e._v(" "),s("h2",{attrs:{id:"会话固定攻击保护"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#会话固定攻击保护"}},[e._v("#")]),e._v(" 会话固定攻击保护")]),e._v(" "),s("p",[s("a",{attrs:{href:"https://en.wikipedia.org/wiki/Session_fixation",target:"_blank",rel:"noopener noreferrer"}},[e._v("Session fixation"),s("OutboundLink")],1),e._v("攻击是一种潜在的风险，在这种情况下，恶意攻击者可能通过访问网站来创建会话，然后说服另一个用户使用相同的会话登录（例如，通过向他们发送包含会话标识符的链接作为参数）。 Spring 安全性通过在用户登录时创建新的会话或以其他方式更改会话ID 来自动防止这种情况。如果你不需要此保护，或者它与某些其他需求冲突，则可以使用"),s("code",[e._v("<session-management>")]),e._v("上的"),s("code",[e._v("session-fixation-protection")]),e._v("属性来控制该行为，该属性有四个选项")]),e._v(" "),s("ul",[s("li",[s("p",[s("code",[e._v("none")]),e._v("-什么都别做。原文会话将予以保留。")])]),e._v(" "),s("li",[s("p",[s("code",[e._v("newSession")]),e._v("-创建新的“clean”会话，而不复制现有的会话数据（ Spring 安全性相关的属性仍将被复制）。")])]),e._v(" "),s("li",[s("p",[s("code",[e._v("migrateSession")]),e._v("-创建一个新的会话并将所有现有的会话属性复制到新的会话。这是 Servlet 3.0 或更早版本容器中的默认设置。")])]),e._v(" "),s("li",[s("p",[s("code",[e._v("changeSessionId")]),e._v("-不要新建会话。相反，使用由 Servlet 容器提供的会话固定保护（"),s("code",[e._v("HttpServletRequest#changeSessionId()")]),e._v("）。此选项仅在 Servlet 3.1（Java EE7）和更新的容器中可用。在较旧的容器中指定它将导致异常。这是 Servlet 3.1 和更新的容器中的默认设置。")])])]),e._v(" "),s("p",[e._v("会话发生固定保护时，会导致"),s("code",[e._v("SessionFixationProtectionEvent")]),e._v("在应用程序上下文中被发布。如果使用"),s("code",[e._v("changeSessionId")]),e._v("，此保护将导致任何"),s("em",[e._v("也是")]),e._v("的通知，因此，如果你的代码监听这两个事件，请小心。有关更多信息，请参见"),s("a",{attrs:{href:"#session-mgmt"}},[e._v("Session Management")]),e._v("章。")]),e._v(" "),s("h2",{attrs:{id:"sessionmanagementfilter"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#sessionmanagementfilter"}},[e._v("#")]),e._v(" SessionManagementFilter")]),e._v(" "),s("p",[s("code",[e._v("SessionManagementFilter")]),e._v("检查"),s("code",[e._v("SecurityContextRepository")]),e._v("中的内容与"),s("code",[e._v("SecurityContextHolder")]),e._v("中的当前内容之间的对比，以确定在当前请求期间是否已对用户进行了身份验证，通常通过一种非交互式的身份验证机制，例如预认证或 remember-me"),s("sup",{staticClass:"footnote"},[e._v("["),s("a",{staticClass:"footnote",attrs:{id:"_footnoteref_1",href:"#_footnotedef_1",title:"View footnote."}},[e._v("1")]),e._v("]")]),e._v("。如果存储库包含安全上下文，则筛选器将不执行任何操作。如果不是，并且线程本地"),s("code",[e._v("SecurityContext")]),e._v("包含一个（非匿名的）"),s("code",[e._v("Authentication")]),e._v("对象，则筛选器假定它们已经由堆栈中的前一个筛选器进行了身份验证。然后它将调用配置的"),s("code",[e._v("SessionAuthenticationStrategy")]),e._v("。")]),e._v(" "),s("p",[e._v("如果用户当前未经过身份验证，则过滤器将检查是否请求了无效的会话ID（例如，由于超时），并将调用已配置的"),s("code",[e._v("InvalidSessionStrategy")]),e._v("（如果设置了）。最常见的行为是重定向到固定的 URL，这被封装在标准实现"),s("code",[e._v("SimpleRedirectInvalidSessionStrategy")]),e._v("中。后者也用于通过名称空间"),s("a",{attrs:{href:"#session-mgmt"}},[e._v("如前所述")]),e._v("配置无效的会话URL。")]),e._v(" "),s("h2",{attrs:{id:"sessionauthenticationstrategy"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#sessionauthenticationstrategy"}},[e._v("#")]),e._v(" SessionAuthenticationStrategy")]),e._v(" "),s("p",[s("code",[e._v("SessionAuthenticationStrategy")]),e._v("被"),s("code",[e._v("SessionManagementFilter")]),e._v("和"),s("code",[e._v("AbstractAuthenticationProcessingFilter")]),e._v("都使用，因此，例如，如果你正在使用定制的 Form-Login 类，则需要将其注入到这两个类中。在这种情况下，结合名称空间和自定义 bean 的典型配置可能如下所示：")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n<custom-filter position="FORM_LOGIN_FILTER" ref="myAuthFilter" />\n<session-management session-authentication-strategy-ref="sas"/>\n</http>\n\n<beans:bean id="myAuthFilter" class=\n"org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter">\n\t<beans:property name="sessionAuthenticationStrategy" ref="sas" />\n\t...\n</beans:bean>\n\n<beans:bean id="sas" class=\n"org.springframework.security.web.authentication.session.SessionFixationProtectionStrategy" />\n')])])]),s("p",[e._v("请注意，如果在实现"),s("code",[e._v("HttpSessionBindingListener")]),e._v("的会话中存储 bean（包括 Spring 会话-作用域 bean），则使用默认的"),s("code",[e._v("SessionFixationProtectionStrategy")]),e._v("可能会导致问题。有关此类的更多信息，请参见 Javadoc。")]),e._v(" "),s("h2",{attrs:{id:"并发控制"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#并发控制"}},[e._v("#")]),e._v(" 并发控制")]),e._v(" "),s("p",[e._v("Spring 安全性能够防止主体对同一应用程序的并行身份验证超过指定的次数。许多 ISV 利用这一点来执行许可，而网络管理员喜欢这个功能，因为它有助于防止人们共享登录名。例如，你可以阻止用户“Batman”从两个不同的会话登录到 Web 应用程序。你可以终止他们的上一次登录，或者在他们再次尝试登录时报告错误，从而阻止第二次登录。请注意，如果你正在使用第二种方法，则尚未显式退出的用户（例如，刚刚关闭其浏览器的用户）将无法再次登录，直到其原始会话到期为止。")]),e._v(" "),s("p",[e._v("名称空间支持并发控制，因此请检查前面的名称空间章节以获得最简单的配置。不过，有时你需要定制一些东西。")]),e._v(" "),s("p",[e._v("该实现使用"),s("code",[e._v("SessionAuthenticationStrategy")]),e._v("的专门版本，称为"),s("code",[e._v("ConcurrentSessionControlAuthenticationStrategy")]),e._v("。")]),e._v(" "),s("table",[s("thead",[s("tr",[s("th"),e._v(" "),s("th",[e._v("以前，并发身份验证检查是由"),s("code",[e._v("ProviderManager")]),e._v("进行的，它可以被注入"),s("code",[e._v("ConcurrentSessionController")]),e._v("，"),s("br"),e._v("后者将检查用户是否试图超过允许的会话数量，"),s("br"),e._v("但是，这种方法要求预先创建一个 HTTP会话，"),s("br"),e._v("在 Spring Security3 中，首先由"),s("code",[e._v("AuthenticationManager")]),e._v("对用户进行身份验证，并且一旦他们被成功地进行了身份验证，则创建一个会话并进行检查是否允许他们打开另一个会话。")])])]),e._v(" "),s("tbody")]),e._v(" "),s("p",[e._v("要使用并发会话支持，你需要在"),s("code",[e._v("web.xml")]),e._v("中添加以下内容：")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v("<listener>\n\t<listener-class>\n\torg.springframework.security.web.session.HttpSessionEventPublisher\n\t</listener-class>\n</listener>\n")])])]),s("p",[e._v("此外，还需要将"),s("code",[e._v("ConcurrentSessionFilter")]),e._v("添加到"),s("code",[e._v("FilterChainProxy")]),e._v("中。"),s("code",[e._v("ConcurrentSessionFilter")]),e._v("需要两个构造函数参数，"),s("code",[e._v("sessionRegistry")]),e._v("，它通常指向"),s("code",[e._v("SessionRegistryImpl")]),e._v("的实例，以及"),s("code",[e._v("sessionInformationExpiredStrategy")]),e._v("，它定义了在会话过期时应用的策略。使用名称空间创建"),s("code",[e._v("FilterChainProxy")]),e._v("和其他默认 bean 的配置可能如下所示：")]),e._v(" "),s("div",{staticClass:"language- extra-class"},[s("pre",{pre:!0,attrs:{class:"language-text"}},[s("code",[e._v('<http>\n<custom-filter position="CONCURRENT_SESSION_FILTER" ref="concurrencyFilter" />\n<custom-filter position="FORM_LOGIN_FILTER" ref="myAuthFilter" />\n\n<session-management session-authentication-strategy-ref="sas"/>\n</http>\n\n<beans:bean id="redirectSessionInformationExpiredStrategy"\nclass="org.springframework.security.web.session.SimpleRedirectSessionInformationExpiredStrategy">\n<beans:constructor-arg name="invalidSessionUrl" value="/session-expired.htm" />\n</beans:bean>\n\n<beans:bean id="concurrencyFilter"\nclass="org.springframework.security.web.session.ConcurrentSessionFilter">\n<beans:constructor-arg name="sessionRegistry" ref="sessionRegistry" />\n<beans:constructor-arg name="sessionInformationExpiredStrategy" ref="redirectSessionInformationExpiredStrategy" />\n</beans:bean>\n\n<beans:bean id="myAuthFilter" class=\n"org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter">\n<beans:property name="sessionAuthenticationStrategy" ref="sas" />\n<beans:property name="authenticationManager" ref="authenticationManager" />\n</beans:bean>\n\n<beans:bean id="sas" class="org.springframework.security.web.authentication.session.CompositeSessionAuthenticationStrategy">\n<beans:constructor-arg>\n\t<beans:list>\n\t<beans:bean class="org.springframework.security.web.authentication.session.ConcurrentSessionControlAuthenticationStrategy">\n\t\t<beans:constructor-arg ref="sessionRegistry"/>\n\t\t<beans:property name="maximumSessions" value="1" />\n\t\t<beans:property name="exceptionIfMaximumExceeded" value="true" />\n\t</beans:bean>\n\t<beans:bean class="org.springframework.security.web.authentication.session.SessionFixationProtectionStrategy">\n\t</beans:bean>\n\t<beans:bean class="org.springframework.security.web.authentication.session.RegisterSessionAuthenticationStrategy">\n\t\t<beans:constructor-arg ref="sessionRegistry"/>\n\t</beans:bean>\n\t</beans:list>\n</beans:constructor-arg>\n</beans:bean>\n\n<beans:bean id="sessionRegistry"\n\tclass="org.springframework.security.core.session.SessionRegistryImpl" />\n')])])]),s("p",[e._v("将侦听器添加到"),s("code",[e._v("web.xml")]),e._v("会导致每当"),s("code",[e._v("HttpSession")]),e._v("开始或结束时，将"),s("code",[e._v("ApplicationEvent")]),e._v("发布到 Spring "),s("code",[e._v("ApplicationContext")]),e._v("。这是关键的，因为它允许在会话结束时通知"),s("code",[e._v("SessionRegistryImpl")]),e._v("。如果没有它，一旦用户超出了他们的会话许可，他们将永远无法再次登录，即使他们退出了另一个会话或它超时。")]),e._v(" "),s("h3",{attrs:{id:"为当前经过身份验证的用户及其会话查询-sessionregistry"}},[s("a",{staticClass:"header-anchor",attrs:{href:"#为当前经过身份验证的用户及其会话查询-sessionregistry"}},[e._v("#")]),e._v(" 为当前经过身份验证的用户及其会话查询 SessionRegistry")]),e._v(" "),s("p",[e._v("通过名称空间或使用普通 bean 设置并发控制，其有益的副作用是为你提供了对"),s("code",[e._v("SessionRegistry")]),e._v("的引用，你可以在应用程序中直接使用该引用，因此，即使你不想限制用户可能拥有的会话数量，建立基础设施也是值得的。你可以将"),s("code",[e._v("maximumSession")]),e._v("属性设置为-1，以允许无限会话。如果使用名称空间，可以使用"),s("code",[e._v("session-registry-alias")]),e._v("属性为内部创建的"),s("code",[e._v("SessionRegistry")]),e._v("设置别名，提供一个引用，你可以将其注入到自己的 bean 中。")]),e._v(" "),s("p",[s("code",[e._v("getAllPrincipals()")]),e._v("方法为你提供了当前经过身份验证的用户的列表。你可以通过调用"),s("code",[e._v("getAllSessions(Object principal, boolean includeExpiredSessions)")]),e._v("方法来列出用户的会话，该方法返回"),s("code",[e._v("SessionInformation")]),e._v("对象的列表。你还可以通过在"),s("code",[e._v("SessionInformation")]),e._v("实例上调用"),s("code",[e._v("expireNow()")]),e._v("来使用户的会话过期。当用户返回应用程序时，他们将被阻止继续。例如，你可能会发现这些方法在管理应用程序中很有用。请查看 Javadoc 以获得更多信息。")]),e._v(" "),s("hr"),e._v(" "),s("p",[s("a",{attrs:{href:"#_footnoteref_1"}},[e._v("1")]),e._v("。通过在验证之后执行重定向的机制（例如 Form-Login）进行的验证不会被"),s("code",[e._v("SessionManagementFilter")]),e._v("检测到，因为在验证请求期间不会调用过滤器。会话-在这些情况下，管理功能必须单独处理。")]),e._v(" "),s("p",[s("RouterLink",{attrs:{to:"/spring-security/passwords/ldap.html"}},[e._v("LDAP")]),s("RouterLink",{attrs:{to:"/spring-security/rememberme.html"}},[e._v("记住我")])],1)])}),[],!1,null,null,null);t.default=a.exports}}]);