Spring Security中如何为所有已认证主体更新/移除角色

1. 跟踪已登录用户的会话 #

Spring Security 默认会将用户认证信息存储在 HttpSession 中，你可以通过 SessionRegistry 获取所有已登录用户的会话信息。首先需要在 Spring Security 配置类中配置该组件：

@Bean
public SessionRegistry sessionRegistry() {
    return new SessionRegistryImpl();
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 其他安全配置...
        .sessionManagement()
            .maximumSessions(1) // 根据业务需求调整会话数量限制
            .sessionRegistry(sessionRegistry());
}

2. 获取并更新目标用户的认证信息 #

当管理员完成权限集修改后，通过 SessionRegistry 遍历所有已登录用户，筛选出普通用户并更新他们的权限集合：

@Autowired
private SessionRegistry sessionRegistry;

public void removeDeleteRoleFromLoggedInUsers() {
    // 获取所有已登录用户的主体对象
    List<Object> principals = sessionRegistry.getAllPrincipals();
    
    for (Object principal : principals) {
        // 替换为你实际的用户实体类，这里假设是CustomUser，同时判断是否为普通用户
        if (principal instanceof CustomUser user && !user.isAdmin()) {
            // 获取该用户的所有有效会话
            List<SessionInformation> sessions = sessionRegistry.getAllSessions(principal, false);
            
            for (SessionInformation sessionInfo : sessions) {
                HttpSession session = (HttpSession) sessionInfo.getSession();
                // 从会话中取出SecurityContext
                SecurityContext context = (SecurityContext) session.getAttribute(
                    HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY
                );
                
                if (context != null && context.getAuthentication() != null) {
                    Authentication auth = context.getAuthentication();
                    // 过滤掉ROLE_DELETE权限
                    Collection<? extends GrantedAuthority> updatedAuthorities = auth.getAuthorities().stream()
                            .filter(authority -> !authority.getAuthority().equals("ROLE_DELETE"))
                            .collect(Collectors.toList());
                    
                    // 构建新的认证对象（如果使用自定义认证类，需替换为对应实现）
                    Authentication newAuth = new UsernamePasswordAuthenticationToken(
                            auth.getPrincipal(),
                            auth.getCredentials(),
                            updatedAuthorities
                    );
                    
                    // 更新会话中的认证信息
                    context.setAuthentication(newAuth);
                    session.setAttribute(HttpSessionSecurityContextRepository.SPRING_SECURITY_CONTEXT_KEY, context);
                }
            }
        }
    }
}

3. 关键注意事项 #

• 确保你的用户实体类（如 CustomUser）正确实现了 equals 和 hashCode 方法，否则 SessionRegistry 无法正确识别同一用户的多个会话。
• 如果使用分布式会话（如 Redis 存储会话），需要确保 SessionRegistry 支持分布式场景，或改用对应分布式会话组件来跟踪用户会话。
• 该方式直接修改用户会话中的认证信息，后续用户发起的请求会自动使用更新后的权限，无需强制重新登录。

内容的提问来源于stack exchange，提问作者Bill L