Spring Authorization Server会话管理失效：多设备登录限制及登出问题

针对你用Spring Authorization Server+社交登录时会话管理失效的问题，核心原因大概率是会话跟踪配置不全或社交登录场景下的用户标识未正确关联，以下是分步解决方法：

1. 补全会话管理的核心配置 #

Spring Security的会话并发控制需要依赖SessionRegistry和会话事件监听才能生效，很多人会漏掉这两个关键Bean。先确认你的Security配置包含以下内容：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            // 会话并发控制核心配置
            .sessionManagement(session -> session
                .maximumSessions(1) // 限制单用户只能有1个有效会话
                .maxSessionsPreventsLogin(false) // 新登录自动踢掉旧会话（设为true则拒绝新登录）
                .expiredUrl("/login?session_expired") // 旧会话被踢后的跳转页
            )
            .oauth2Login(oauth2 -> oauth2.loginPage("/login")) // 你的社交登录配置
            // 登出时彻底销毁会话
            .logout(logout -> logout
                .invalidateHttpSession(true)
                .deleteCookies("JSESSIONID")
                .permitAll()
            );
        return http.build();
    }

    // 必须注册，用于跟踪用户与会话的映射关系
    @Bean
    public SessionRegistry sessionRegistry() {
        return new SessionRegistryImpl();
    }

    // 监听会话创建/销毁事件，同步更新SessionRegistry
    @Bean
    public HttpSessionEventPublisher httpSessionEventPublisher() {
        return new HttpSessionEventPublisher();
    }
}

2. 确保社交登录用户的标识一致性 #

社交登录后，Spring Security会生成OAuth2User或OidcUser作为认证主体。要让会话管理识别“同一个用户”，需满足：

• 同一个社交用户（比如同一个微信openid、Google邮箱）每次登录后，认证主体的username（或唯一标识字段）必须一致。如果自定义了用户转换逻辑，要确保用用户的唯一社交ID作为标识，而不是随机生成的临时ID。
• 如果用了自定义Authentication对象，务必重写equals()和hashCode()方法，保证同一个用户的认证实例被视为相同主体。

3. 完善登出逻辑，避免会话残留 #

登出时不仅要销毁本地会话，还要清理客户端Cookie，防止旧会话被复用：

• 配置invalidateHttpSession(true)确保服务器端会话被销毁，deleteCookies("JSESSIONID")清除客户端的会话Cookie。
• 如果需要同步登出社交平台（比如用户登出你的应用后，也要退出微信/Google），可以在登出处理器中添加重定向：

.logout(logout -> logout
    .logoutSuccessHandler((req, res, auth) -> {
        // 替换为你的社交平台登出地址，比如OIDC的end_session_endpoint
        String socialLogoutUrl = "https://your-provider.com/logout?redirect_uri=http://your-app.com/login";
        res.sendRedirect(socialLogoutUrl);
    })
    .invalidateHttpSession(true)
    .deleteCookies("JSESSIONID")
)

4. 分布式部署场景的特殊处理 #

如果你的应用是多实例部署，内存版的SessionRegistryImpl会导致会话跟踪失效（每个实例只知道自己的会话）。这种情况下要改用分布式会话存储，比如Redis+Spring Session：

1. 添加依赖：

<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

2. 配置Redis连接信息，Spring Session会自动接管会话存储，SessionRegistry的数据也会在实例间同步。

5. 验证方法 #

• 启动应用后，用第一个浏览器登录，通过sessionRegistry.getAllPrincipals()打印调试，确认会话已被跟踪。
• 用第二个浏览器登录同一个用户，检查第一个浏览器访问受保护资源时是否跳转到expiredUrl。
• 登出后，尝试访问受保护资源，应该自动跳转到登录页，且SessionRegistry中该用户的会话已被移除。

内容的提问来源于stack exchange，提问作者Rajeev