Spring Security中SessionManagement配置不生效问题咨询

核心问题 #

会话控制配置不生效的核心原因是自定义认证过滤器未正确关联Spring Security的会话并发控制策略，同时存在两处配置冲突：

1. 自定义LoginAuthenticationFilter注释掉了setSessionAuthenticationStrategy(sessionAuthenticationStrategy())，导致认证成功后无法触发会话并发检查逻辑。
2. sessionManagement中设置maximumSessions(1)，但自定义SessionAuthenticationStrategy又设置maximumSessions(2)，参数不一致导致逻辑混乱。

具体修复步骤 #

1. 统一会话并发配置参数 #

删除自定义SessionAuthenticationStrategy中的setMaximumSessions(2)，或把sessionManagement里的maximumSessions(1)改为2，保证两处配置完全一致。推荐复用sessionManagement的配置逻辑，避免重复定义。

2. 给自定义认证过滤器绑定正确的SessionAuthenticationStrategy #

取消loginAuthenticationFilter()中setSessionAuthenticationStrategy的注释，让自定义过滤器关联Spring Security根据sessionManagement配置生成的策略，这样才能联动maximumSessions、maxSessionsPreventsLogin等参数。修改后的代码如下：

@Bean
public AbstractAuthenticationProcessingFilter loginAuthenticationFilter() {
    LoginAuthenticationFilter loginAuthenticationFilter = new LoginAuthenticationFilter("/login", objectMapper);
    loginAuthenticationFilter.setAuthenticationManager(authenticationManager());
    loginAuthenticationFilter.setAuthenticationFailureHandler(authenticationFailureHandler());
    loginAuthenticationFilter.setAuthenticationSuccessHandler(authenticationSuccessHandler());
    loginAuthenticationFilter.setSecurityContextRepository(new HttpSessionSecurityContextRepository());
    // 绑定Spring Security根据sessionManagement配置生成的会话认证策略
    loginAuthenticationFilter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy());
    return loginAuthenticationFilter;
}

3. 确认SessionRegistry的正确性 #

你定义的SpringSessionBackedSessionRegistry已正确关联Redis会话仓库，这部分无需修改。Spring Security的会话控制依赖该Bean跟踪用户活跃会话，只要Spring Session配置正常，这里就能正常工作。

4. 验证过滤器链顺序 #

你使用addFilterAt替换默认UsernamePasswordAuthenticationFilter的位置是正确的，默认过滤器链中SessionManagementFilter会在认证过滤器之后执行，无需额外调整顺序。

额外注意事项 #

• 当maxSessionsPreventsLogin(true)时，新登录请求会被直接拒绝，需确保AuthenticationFailureHandler能处理该场景并返回对应错误信息。
• 确保spring-session-core与spring-security-web版本兼容，避免版本冲突导致会话跟踪异常。

内容的提问来源于stack exchange，提问作者lililiam