使用Spring Session时是否需在HttpSecurity中配置sessionManagement？

是否需要在HttpSecurity中配置sessionManagement？ #

需要。Spring Session JDBC的作用是接管会话的持久化存储，而Spring Security的sessionManagement负责定义会话相关的安全策略（比如并发会话数量限制、会话过期处理等）。两者职责不同，要实现像最大会话数这类安全规则，必须在HttpSecurity中配置sessionManagement，同时配合Spring Session的相关组件完成协同。

为何你的maximumSessions配置无效果？ #

核心原因是缺少SpringSessionBackedSessionRegistry的配置。Spring Security的maximumSessions依赖SessionRegistry来跟踪用户的活跃会话，但默认的SessionRegistry只基于内存存储会话信息；当你使用Spring Session JDBC时，会话数据存在数据库中，必须使用Spring Session提供的SpringSessionBackedSessionRegistry，它能从Spring Session的存储源（JDBC数据库）中读取会话数据，让Security可以正确统计用户的会话数量。

正确的配置示例 #

1. 配置SpringSessionBackedSessionRegistry Bean

@Bean
public SessionRegistry sessionRegistry(SessionRepository<? extends Session> sessionRepository) {
    return new SpringSessionBackedSessionRegistry<>(sessionRepository);
}

2. 在SecurityFilterChain中关联SessionRegistry

@Bean
public SecurityFilterChain filterChain(HttpSecurity http, SessionRegistry sessionRegistry) {
    http
        .sessionManagement(session -> session
            .maximumSessions(1)
            // 关联SpringSessionBackedSessionRegistry，让Security能从数据库读取会话数据
            .sessionRegistry(sessionRegistry)
            // 可选配置：达到最大会话数时的处理逻辑
            .maxSessionsPreventsLogin(false) // false=旧会话自动过期；true=拒绝新登录请求
            .expiredUrl("/login?expired") // 会话过期后跳转的页面
        );
    return http.build();
}

额外注意事项 #

• 确保已正确启用Spring Session JDBC：添加@EnableJdbcHttpSession注解，配置好数据库数据源，保证会话能正常写入数据库。
• 如果需要更精细的会话控制（比如会话过期时间），可以通过Spring Session的配置（如@EnableJdbcHttpSession(maxInactiveIntervalInSeconds = 1800)）来设置。

内容的提问来源于stack exchange，提问作者Scroll