脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 软件编程 → java → Shiro 限制登录次数

Shiro实现session限制登录数量踢人下线功能

 更新时间：2023年11月11日 10:57:11   作者：bbq烤鸡  
这篇文章主要介绍了Shiro实现session限制登录数量踢人下线,本文记录的是shiro采用session作为登录方案时,对用户进行限制数量登录,以及剔除下线,需要的朋友可以参考下

前言

近年无状态登录兴起，但sessionId方式仍是主流方案，借用类似redis集群等方案存储session信息使得它也足以跟上微服务的浪潮。相对来说session方式更具有服务端控制感，而无状态登录要想实现服务端控制就得存储些东西，这么一来无状态就得打上一个问号。本文记录的是shiro采用session作为登录方案时，对用户进行限制数量登录，以及剔除下线。

实现

■ 架构准备

首先搭建好基于redis存储session的shiro鉴权框架底子，网上很容易找到各种实现代码。

ShiroConfig

找到spring中的ShiroConfig，应有类似如下代码

// 自定义授权缓存管理器
实现 CacheManager 的授权缓存管理器，改用redis存储授权信息。

@Bean
public JedisCacheManager shiroCacheManager() {
	JedisCacheManager shiroCacheManager = new JedisCacheManager();
	return shiroCacheManager;
}

// 自定义Session存储容器
继承 AbstractSessionDAO 实现 SessionDAO ，对session的curd的具体实现方法自定义编写，采用redis存储与操作。也是本文的主要修改类。

@Bean
public JedisSessionDAO sessionDAO(IdGen idGen) {
	JedisSessionDAO sessionDAO = new JedisSessionDAO();
	sessionDAO.setSessionIdGenerator(idGen);
	sessionDAO.setSessionKeyPrefix(redis_keyPrefix + "_session:");
	return sessionDAO;
}

// 自定义会话管理配置
继承 DefaultWebSessionManager 的自定义WEB会话管理类。

@Bean
public SessionManager sessionManager(JedisSessionDAO sessionDAO, SimpleCookie sessionIdCookie) {
    SessionManager sessionManager = new SessionManager();
    sessionManager.setSessionDAO(sessionDAO);
    // 会话超时时间，单位：毫秒
    sessionManager.setGlobalSessionTimeout(session_sessionTimeout);
    sessionManager.setSessionValidationSchedulerEnabled(true);
    sessionManager.setSessionIdCookie(sessionIdCookie);
    sessionManager.setSessionIdCookieEnabled(true);
    return sessionManager;
}

// 自定义Shiro安全管理配置

@Bean
public DefaultWebSecurityManager securityManager(SystemAuthorizingRealm systemAuthorizingRealm, SessionManager sessionManager
        , JedisCacheManager shiroCacheManager) {
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    securityManager.setRealm(systemAuthorizingRealm);
    securityManager.setSessionManager(sessionManager);
    securityManager.setCacheManager(shiroCacheManager);
    return securityManager;
}

这些配置一层套一层，其它的省略了。。。主要修改的就是JedisSessionDAO

■ redis内的存储分布

如图，
上面一堆是session的存储，存储的字符串类型，key为前缀+sessionId，value为session内容；
下面一堆则是辅助session限制登陆的存储，key为前缀+userId，value则是map集合，map的key为sessionId，value可以存储一些我们需要的内容，此处我存的是session的最后活动时间。
这么设计即可少许的redis操作就达到我们的目的——限制登陆和踢人下线。

注：key的存储命名使用:分隔是因为低版本的RDM默认使用:符号分隔归档，方便我们的可视化查询，高版本以及其它工具是可以自定义分隔符的。

■ 代码修改

修改 JedisSessionDAO

新增以下方法，并对实现的接口 SessionDAO 添加抽象方法。
这个方法在登录时调用，用于判断一个账号登录session的数量并剔除超出规则的账号。

@Override
public Collection<Session> limitSessions(Object principal){
	// principal在这个方法指的就是userID
    if (principal != null){
        principal = principal.toString();
    }
    // 等会儿取出来的用户存活的session需要放入这个list进行时间排序，以剔除过旧的session。
    ArrayList<Session> sessions = new ArrayList();
    Jedis jedis = null;
    try {
        jedis = JedisUtils.getResource();
        // 查询该userId的session map集合。
        Map<String, String> map = jedis.hgetAll(sessionUserKeyPrefix + principal);
        for (Map.Entry<String, String> e : map.entrySet()){
        	// 遍历集合，剔除不规范的内容，一般来说是不会出现的
            if (StringUtils.isNotBlank(e.getKey()) && StringUtils.isNotBlank(e.getValue())){
            	// 最后活动时间
                String expire = e.getValue();
                // 因为session的具体存储在redis的字符串中，可以自动过期，
                // 而这里session信息存储在map集合的其中一条键值对中无法设置自动过期，
                // 所以需要借助SimpleSession类对session是否存活进行校验。
                // 每当该账号有认证操作时就会更新一遍map。
                if (StringUtils.isNotBlank(expire)){
                    SimpleSession session = new SimpleSession();
                    session.setId(e.getKey());
                    session.setAttribute("principalId", principal);
                    session.setTimeout(TokenUtils.cacheSeconds * 1000);
                    session.setLastAccessTime(new Date(Long.valueOf(expire)));
                    try{
                        // 验证SESSION
                        session.validate();
                        sessions.add(session);
                    }
                    // SESSION验证失败
                    catch (Exception e2) {
                        jedis.hdel(sessionUserKeyPrefix + principal, e.getKey());
                    }
                }
                // 存储的SESSION不符合规则
                else{
                    jedis.hdel(sessionUserKeyPrefix + principal, e.getKey());
                }
            }
            // 存储的SESSION无Value
            else if (StringUtils.isNotBlank(e.getKey())){
                jedis.hdel(sessionUserKeyPrefix + principal, e.getKey());
            }
        }
        // 剔除过期的session后得到的 sessions.size() 才是当前账号所存活的session
        logger.info("该账户 session 数量: {} ", sessions.size());
        // 我定义的规则：如果存活的session大于某个值，就对sessions进行时间排序，并且剔除最后操作较早的session
        if(sessions.size() > SESSIONLIMTI) {
            sessions.sort(new Comparator<Session>() {
                @Override
                public int compare(Session o1, Session o2) {
                    return (int)(o1.getLastAccessTime().getTime() - o2.getLastAccessTime().getTime());
                }
            });
            for (int i = 0; i < sessions.size() - SESSIONLIMTI; i++) {
                Session session = sessions.get(i);
                jedis.hdel(sessionUserKeyPrefix + principal, session.getId().toString());
                jedis.del(JedisUtils.getBytesKey(sessionKeyPrefix + session.getId()));
            }
        }
    } catch (Exception e) {
        logger.error("limitSessions", e);
    } finally {
        JedisUtils.returnResource(jedis);
    }
    return sessions;
}

修改 SystemAuthorizingRealm

如下代码，doGetAuthenticationInfo 是shiro认证的回调函数，重写内容一般有登录校验、登录日志之类，在这里就可以追加限制登录数量和剔除session的操作，也就是调用前面编写的方法。

/**
 * 认证回调函数, 登录时调用
 */
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authcToken) {
    UsernamePasswordToken token = (UsernamePasswordToken) authcToken;
    // 校验登录验证码
//业务校验。。。。。。省略
    // 校验用户名密码以及账号是否冻结
    User user = getSystemService().。。。。。。
    if (user != null) {
        if (Global.NO.equals(user.getLoginFlag())) {
            throw new AuthenticationException("msg:该帐号已禁止登录.");
        } else if (Global.YES.equals(user.getBlacklist())) {
            throw new AuthenticationException("msg:该帐号已被加入黑名单.");
        }
        byte[] salt = Encodes.decodeHex(。。。);
        Principal principal = new Principal(user, 。。。);
        // 无痕登录 不打日志
        if(token.isTraceless()) {
            principal.setTraceless(true);
        } else {
            // 更新登录IP和时间
            getSystemService().updateUserLoginInfo(user);
            // 记录登录日志
            LogUtils.saveLog(Servlets.getRequest(), "系统登录", user);
            // 踢人
            int limitSessionSize = getSystemService().getSessionDao().limitSessions(user.getId()).size();
        }
        return new SimpleAuthenticationInfo(principal, 。。。);
    } else {
        return null;
    }
}

新增 ApiLogoutFilter

重写 preHandle 方法，如果退出登录，就从map中移除该session，我本来是打算写在 JedisSessionDAO 的delete方法中，但是执行到这个方法的时候已经清除了用户信息，所以无法获得userId，当然可以采用再设置一个sessionId所对应的redis存储辅助，有些冗余，可能有更好的切入点写入，我目前是写在这里。

public class ApiLogoutFilter extends LogoutFilter {
    private static final Logger log = LoggerFactory.getLogger(ApiLogoutFilter.class);
    private String sessionUserKeyPrefix = "jes_map:";
    @Override
    protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
        Subject subject = this.getSubject(request, response);
        if (this.isPostOnlyLogout() && !WebUtils.toHttp(request).getMethod().toUpperCase(Locale.ENGLISH).equals("POST")) {
            return this.onLogoutRequestNotAPost(request, response);
        } else {
            String redirectUrl = this.getRedirectUrl(request, response, subject);
            try {
                SystemAuthorizingRealm.Principal principal = (SystemAuthorizingRealm.Principal)subject.getPrincipal();
                String sessionId = subject.getSession().getId().toString();
                subject.logout();
                JedisUtils.mapRemove(sessionUserKeyPrefix + principal, sessionId);
            } catch (SessionException var6) {
                log.debug("Encountered session exception during logout.  This can generally safely be ignored.", var6);
            }
            this.issueRedirect(request, response, redirectUrl);
            return false;
        }
    }
}

再次修改 JedisSessionDAO

这个方法里就可以获取userId了，如下代码就可以设置与更新这个登录的map集合，以及更新session的生命周期。

@Override
public void update(Session session) throws UnknownSessionException {
	if (session == null || session.getId() == null) {
        return;
    }
   	/** 现在项目基本前后端分离 这一段基本没用
	HttpServletRequest request = Servlets.getRequest();
	if (request != null){
		String uri = request.getServletPath();
		// 如果是静态文件，则不更新SESSION
		if (Servlets.isStaticFile(uri)){
			return;
		}
		// 如果是视图文件，则不更新SESSION
		if (StringUtils.startsWith(uri, Global.getConfig("web.view.prefix"))
				&& StringUtils.endsWith(uri, Global.getConfig("web.view.suffix"))){
			return;
		}
		// 手动控制不更新SESSION
		if (Global.NO.equals(request.getParameter("updateSession"))){
			return;
		}
	}
**/
	Jedis jedis = null;
	try {
		jedis = JedisUtils.getResource();
		// 获取登录者编号
		PrincipalCollection pc = (PrincipalCollection)session.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY);
		String principalId = pc != null ? pc.getPrimaryPrincipal().toString() : StringUtils.EMPTY;
        if (StringUtils.isNotBlank(principalId)) {
            jedis.hset(sessionUserKeyPrefix + principalId, session.getId().toString(),   "" + session.getLastAccessTime().getTime());
            jedis.expire(sessionUserKeyPrefix + principalId, TokenUtils.cacheSeconds);
        }
		jedis.set(JedisUtils.getBytesKey(sessionKeyPrefix + session.getId()), JedisUtils.toBytes(session));
		// 设置超期时间
		int timeoutSeconds = (int)(session.getTimeout() / 1000);
		jedis.expire((sessionKeyPrefix + session.getId()), timeoutSeconds);
		logger.debug("update {} {}", session.getId(), request != null ? request.getRequestURI() : "");
	} catch (Exception e) {
		logger.error("update {} {}", session.getId(), request != null ? request.getRequestURI() : "", e);
	} finally {
		JedisUtils.returnResource(jedis);
	}
}

最后

在此，我只是规定了固定数量规则，这个限制登录数量当然可以是存储于关系型数据库里和账号绑定的，甚至可以是花里胡哨的规则，例如——手机登录限制只能登录1个，浏览器登录限制10个。还可以通过ws推送，主动告知被剔除的那个客户端——您的账号在福建省XX市XX登录，您被踢下线，如有异常，申请冻结账号。甚至可以列出登录设备列表，让客户可以选择性的剔除哪个设备。只要在map里存储的时间戳修改为这些丰富的数据，就能实现这些很有趣的功能。

到此这篇关于Shiro实现session限制登录数量踢人下线的文章就介绍到这了,更多相关Shiro实现session限制登录数量内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

您可能感兴趣的文章:

相关文章

  • Java调用用户芝麻信用分

    Java调用用户芝麻信用分

    这篇文章主要为大家详细介绍了Java调用用户芝麻信用分，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2018-11-11
  • 使用Spring事件机制实现异步的方法

    使用Spring事件机制实现异步的方法

    这篇文章主要介绍了使用Spring事件机制实现异步的方法，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2018-06-06
  • Retrofit+RxJava实现带进度下载文件

    Retrofit+RxJava实现带进度下载文件

    这篇文章主要为大家详细介绍了Retrofit+RxJava实现带进度下载文件，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2018-05-05
  • 详解SpringBoot+Mybatis实现动态数据源切换

    详解SpringBoot+Mybatis实现动态数据源切换

    这篇文章主要介绍了详解SpringBoot+Mybatis实现动态数据源切换，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2021-05-05
  • Java日期工具类DateUtils实例详解

    Java日期工具类DateUtils实例详解

    这篇文章主要为大家详细介绍了Java日期工具类DateUtils实例，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2017-12-12
  • 如何更优雅地获取spring boot yml中的值

    如何更优雅地获取spring boot yml中的值

    这篇文章主要给大家介绍了关于如何更优雅地获取spring boot yml中值的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用spring boot具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
    2019-06-06
  • java实现protocol传输的客户端和服务端的示例代码

    java实现protocol传输的客户端和服务端的示例代码

    本文主要介绍了java实现protocol传输的客户端和服务端的示例代码,基于TCP协议的客户端和服务端,包括了基本的连接、消息传递和关闭连接的操作,感兴趣的可以了解一下
    2024-07-07
  • Java超详细分析垃圾回收机制

    Java超详细分析垃圾回收机制

    一个运行中的程序, 产生的对象是大量的, 如果对象不被继续使用, 就会成为垃圾, 最后越堆越多, 最后占满内存, 所以我们要对这些垃圾进行回收,保持程序的正常运行
    2022-05-05
  • springboot swagger2注解使用的教程

    springboot swagger2注解使用的教程

    这篇文章主要介绍了springboot swagger2注解使用，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值,需要的朋友可以参考下
    2020-05-05
  • java中的instanceof关键字详细解读

    java中的instanceof关键字详细解读

    这篇文章主要介绍了java中的instanceof关键字详细解读,instanceof 是 Java 的保留关键字,它的作用是测试它左边的对象是否是它右边的类的实例,返回 boolean 的数据类型,需要的朋友可以参考下
    2024-01-01

最新评论