Spring-Security笔记12 Session管理

最新推荐文章于 2024-10-09 18:45:54 发布

tjyyyangyi

最新推荐文章于 2024-10-09 18:45:54 发布

阅读量2.1k

点赞数

CC 4.0 BY-SA版权

分类专栏： Spring-Security

本文链接：https://blog.csdn.net/tjyyyangyi/article/details/79414358

本文详细介绍了Spring Security中关于Session的管理，包括session失效时的跳转链接配置、session攻击保护策略（migrateSession、none、newSession）以及并发控制。重点讲解了并发控制如何限制同一用户同时登录，并在超过限制时的处理方式，如设置失效链接和区分AJAX与普通页面的响应策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在Spring-security.xml中配置

<!-- Session管理 -->
<!-- invalid-session-url Session失效后跳转的界面 -->
<sec:session-management invalid-session-url="/sessionInvalid.do?message=invalid-session"
 session-fixation-protection="migrateSession">
	<sec:concurrency-control error-if-maximum-exceeded="false" max-sessions="1"
				expired-url="/sessionInvalid.do?message=expired" />
</sec:session-management>

<!-- session失效跳转不拦截 -->
<sec:http pattern="/sessionInvalid.do" security="none" />

1、invalid-session-url表示session失效时的跳转链接

2、session-fixation-protection是session攻击保护的策略

migrateSession：这是默认值。其表示在用户登录后将新建一个session，同时将原session中的attribute都copy到新的session中。

none：表示继续使用原来的session。

newSession：表示重新创建一个新的session，但是不copy原session拥有的attribute。

3、concurrency-control

通常情况下，在你的应用中你可能只希望同一用户在同时登录多次时只能有一个是成功登入你的

最低0.47元/天解锁文章

新学期VIP享超值加赠