Spring MVC用户登录会话保持及注销功能实现方案咨询

嘿，针对你开发的Spring MVC登录注册应用，要实现登录后保会话、注销销毁会话的需求，我给你两种方案——优先推荐用Spring Security（这是Spring生态里处理用户认证、会话管理的标准方案，比手动写代码安全、省心太多），当然也会给你手动实现的方法，看你项目阶段选：

一、首选方案：集成Spring Security #

这是业界通用的做法，Spring Security帮你搞定会话创建、认证校验、注销销毁这些脏活累活，还自带CSRF防护、密码加密、会话超时等安全特性。

1. 先加依赖（Maven为例） #

在你的pom.xml里添加上Spring Security的核心依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.7.3</version> <!-- 选和你Spring版本适配的版本，比如Spring 5.x对应这个系列 -->
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.7.3</version>
</dependency>

2. 配置Spring Security规则 #

创建一个配置类，告诉Spring Security哪些页面允许匿名访问，哪些需要登录，还有登录注销的规则：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final UserService userService;

    // 构造注入你的UserService
    public SecurityConfig(UserService userService) {
        this.userService = userService;
    }

    // 配置用户认证逻辑，用你的UserService来加载用户，同时指定密码加密器
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userService)
            .passwordEncoder(new BCryptPasswordEncoder()); // 划重点：密码必须加密，明文绝对不能用！
    }

    // 配置HTTP请求的安全规则
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll() // 登录、注册页允许所有人访问
                .anyRequest().authenticated() // 其他所有页面必须登录才能进
                .and()
            .formLogin()
                .loginPage("/login") // 指定你自己的登录页面路径
                .loginProcessingUrl("/loginProcess") // 对应你登录表单提交的接口地址
                .defaultSuccessUrl("/dashboard") // 登录成功默认跳转到主页
                .failureUrl("/login?error=true") // 登录失败跳回登录页，带个错误标记
                .and()
            .logout()
                .logoutUrl("/logout") // 注销的接口地址
                .logoutSuccessUrl("/login?logout=true") // 注销成功跳回登录页，带注销成功标记
                .invalidateHttpSession(true) // 注销时直接销毁会话
                .deleteCookies("JSESSIONID"); // 删除会话Cookie，彻底清除登录状态
    }
}

3. 改造你的UserService #

Spring Security需要你的UserService实现UserDetailsService接口，这样它才能正确加载用户信息进行认证：

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class UserService implements UserDetailsService {

    // 你的其他业务方法（比如注册、查询用户逻辑）保留不动

    // 实现Spring Security要求的方法，根据用户名加载用户信息
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 这里调用你原有的查询用户方法，根据用户名找用户
        User user = findUserByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("找不到用户：" + username);
        }
        // 把你的User实体转换成Spring Security需要的UserDetails对象
        return org.springframework.security.core.userdetails.User.builder()
                .username(user.getUsername())
                .password(user.getPassword()) // 注意：这里的密码必须是BCrypt加密后的字符串
                .roles("USER") // 可以根据你的业务设置用户角色，比如ADMIN、USER等
                .build();
    }

    // 你原有的validateUser方法可以保留，或者直接用上面的loadUserByUsername替代（推荐后者）
    public User validateUser(Login login) {
        User user = findUserByUsername(login.getUsername());
        if (user != null && new BCryptPasswordEncoder().matches(login.getPassword(), user.getPassword())) {
            return user;
        }
        return null;
    }
}

4. 简化你的LoginController #

现在不需要手动处理登录逻辑了，Spring Security会自动接管，你的控制器只需要负责展示登录页面和处理错误信息：

@Controller
public class LoginController {

    @RequestMapping(value = "/login", method = RequestMethod.GET)
    public ModelAndView showLogin(HttpServletRequest request) {
        ModelAndView mav = new ModelAndView("login");
        // 处理登录失败的提示
        if (request.getParameter("error") != null) {
            mav.addObject("message", "用户名或密码错误！");
        }
        // 处理注销成功的提示
        if (request.getParameter("logout") != null) {
            mav.addObject("message", "你已成功注销！");
        }
        mav.addObject("login", new Login());
        return mav;
    }

    // 原来的loginProcess方法可以删掉了，Spring Security会自动处理登录请求
}

二、手动实现会话管理（适合小项目或不想引入Spring Security的场景） #

如果你暂时不想集成Spring Security，也可以手动通过HttpSession来管理登录状态，不过要自己处理安全细节：

1. 登录时把用户信息存入Session #

修改你的loginProcess方法，验证成功后将用户对象存入会话：

@RequestMapping(value = "/loginProcess", method = RequestMethod.POST)
public ModelAndView loginProcess(HttpServletRequest request, @ModelAttribute("login") Login login) {
    ModelAndView mav = null;
    User user = userService.validateUser(login);
    if (null != user) {
        // 获取当前会话（如果没有则创建）
        HttpSession session = request.getSession();
        // 把用户信息存入Session，作为登录标记
        session.setAttribute("loggedInUser", user);
        // 设置会话超时时间，比如1小时（单位：秒）
        session.setMaxInactiveInterval(3600);
        // 登录成功跳转到主页
        mav = new ModelAndView("dashboard", "firstname", user.getFirstname());
    } else {
        mav = new ModelAndView("login");
        mav.addObject("message", "用户名或密码错误！");
    }
    return mav;
}

2. 添加注销方法，销毁会话 #

写一个注销的控制器方法，手动销毁会话：

@RequestMapping(value = "/logout", method = RequestMethod.GET)
public String logout(HttpServletRequest request) {
    // 获取现有会话（如果不存在则返回null，避免创建新会话）
    HttpSession session = request.getSession(false);
    if (session != null) {
        session.invalidate(); // 销毁会话，清除所有Session属性
    }
    // 注销成功跳回登录页
    return "redirect:/login?logout=true";
}

3. 保护需要登录的页面 #

在所有需要登录才能访问的控制器方法里，检查Session中是否有登录用户：

@RequestMapping("/dashboard")
public ModelAndView showDashboard(HttpServletRequest request) {
    HttpSession session = request.getSession(false);
    // 会话不存在，或者没有登录用户，就跳回登录页
    if (session == null || session.getAttribute("loggedInUser") == null) {
        ModelAndView mav = new ModelAndView("login");
        mav.addObject("message", "请先登录！");
        return mav;
    }
    // 登录状态有效，展示主页
    User user = (User) session.getAttribute("loggedInUser");
    return new ModelAndView("dashboard", "firstname", user.getFirstname());
}

重要提醒 #

• 密码绝对不能明文存储：不管用哪种方案，都要用BCrypt、Argon2这类强哈希算法加密密码后再存到数据库里。
• 设置合理的会话超时：避免会话长时间闲置，减少被劫持的风险。
• CSRF防护：如果用手动实现，记得开启Spring MVC的CSRF防护（在spring-servlet.xml里加<csrf/>），防止跨站请求伪造攻击。

内容的提问来源于stack exchange，提问作者Sahil Chabria