注：本文基于Spring Boot 3.2.1 以及 Spring Security 6.2.1

相关文章

【SpringBoot3】Spring Security 核心概念

【SpringBoot3】Spring Security 常用注解

【SpringBoot3】Spring Security 详细使用实例（简单使用、JWT模式）

【SpringBoot3】Spring Security使用mybatis-plus存储用户角色权限，实现动态权限处理

一、Spring Security 常用配置总结

1、记住我 rememberMe

1）配置HttpSecurity，如下代码

// 开启rememberMe，登录表单增加 
http.rememberMe(Customizer.withDefaults());

2）登录表单页面增加勾选参数，在登录时勾选即可

注意参数名remember-me是默认的，也可以通过配置修改

登录成功后，会生成一个cookie（remember-me）

3）配置rememberMe其他参数

• rememberMeParameter，表单参数名称
• rememberMeCookieName，记录在浏览器的cookieName
• tokenValiditySeconds，有效时间，单位秒

  http.rememberMe(rm -> rm
          .rememberMeParameter("rememberMe")
          .rememberMeCookieName("rememberMeCookieName")
          .key("rememberMe")
          .tokenValiditySeconds(1800));
  

  2、退出处理

  // 退出时，设置session无效
  http.logout(logout -> logout.invalidateHttpSession(true));
  

  3、持久化登录令牌

  持久化登录令牌是记住我功能的补充，可以将登录的token存储在数据库中。

  参考 JdbcTokenRepositoryImpl 可以得知需要创建一张表 persistent_logins

  本例使用 mybatis-plus + mysql 存储

  1）创建持久化令牌表 persistent_logins

  create table persistent_logins (username varchar(64) not null, series varchar(64) primary key,  token varchar(64) not null, last_used timestamp not null)
  

  2）创建实体和Mapper

  @Data
  @TableName("persistent_logins")
  public class UserToken {
      private String username;
      private String series;
      @TableField("token")
      private String tokenValue;
      @TableField("last_used")
      private Date date;
  }
  @Mapper
  public interface UserTokenMapper extends BaseMapper {
  }
  

  3）创建自定义持久化类 MyPersistentTokenRepositoryImpl 实现接口 PersistentTokenRepository

  @Service
  public class MyPersistentTokenRepositoryImpl implements PersistentTokenRepository {
      @Resource
      private UserTokenMapper userTokenMapper;
      @Override
      public void createNewToken(PersistentRememberMeToken token) {
          UserToken userToken = BeanUtil.toBean(token, UserToken.class);
          userTokenMapper.insert(userToken);
      }
      @Override
      public void updateToken(String series, String tokenValue, Date lastUsed) {
          LambdaUpdateWrapper updateWrapper = Wrappers.lambdaUpdate();
          updateWrapper.eq(UserToken::getSeries, series)
                  .set(UserToken::getTokenValue, tokenValue)
                  .set(UserToken::getDate, lastUsed);
          userTokenMapper.update(updateWrapper);
      }
      @Override
      public PersistentRememberMeToken getTokenForSeries(String seriesId) {
          UserToken userToken = userTokenMapper.selectOne(new LambdaQueryWrapper().eq(UserToken::getSeries, seriesId));
          PersistentRememberMeToken meToken = BeanUtil.toBean(userToken, PersistentRememberMeToken.class);
          return meToken;
      }
      @Override
      public void removeUserTokens(String username) {
          userTokenMapper.delete(new LambdaQueryWrapper().eq(UserToken::getUsername, username));
      }
  }
  

  4）在 HttpSecurity 中配置使用

  @Resource
  private MyPersistentTokenRepositoryImpl tokenRepository;
  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      
      // --- 忽略其他代码 --- //
      
      http.rememberMe(rm -> rm
              .rememberMeParameter("rememberMe")
              .rememberMeCookieName("rememberMeCookieName")
              .key("rememberMe")
              // 配置持久化类
              .tokenRepository(tokenRepository)
              .tokenValiditySeconds(1800));
       
       // --- 忽略其他代码 --- //
  }
  

  5）登录，勾选记住我

  

  打开数据库查看，存储正常

  

  4、并发登录控制，后登录踢掉前面登录

  设置每个账户最大的session数量

  // 每个账户最大的session数量
  http.sessionManagement(sm->sm.maximumSessions(1));
  

  5、主动踢人下线

  1）配置 SessionRegistry

  /**
   * 通过 SessionRegistry 可以获取到当前登录的所有用户
   * @return
   */
  @Bean
  public SessionRegistry sessionRegistry(){
      return new SessionRegistryImpl();
  }
  

  在 HttpSecurity 中配置

  // 每个账户最大的session数量，配置 sessionRegistry
  http.sessionManagement(sm->sm.maximumSessions(1).sessionRegistry(sessionRegistry()));
  

  2）在controller中获取在线用户，并展示

  @GetMapping("/index")
  public String index(Model model) {
      // 获取所有登录过的用户
      List