如何在Spring Boot应用运行时动态修改会话超时与单用户最大会话数？

一、动态修改会话超时时间 #

1. 本地Servlet容器（如Tomcat）场景 #

Spring Security的会话超时最终由Servlet容器管控，我们可以直接操作容器配置，同时更新已存在会话的超时时间：

@Autowired
private ServletContext servletContext;

public void updateSessionTimeout(int minutes) {
    if (servletContext instanceof TomcatEmbeddedContext) {
        StandardContext standardContext = ((TomcatEmbeddedContext) servletContext).getTomcatContext();
        // 更新全局配置，后续新会话生效
        standardContext.setSessionTimeout(minutes);
        // 遍历所有已存在会话，同步更新超时时间
        for (Session session : standardContext.getManager().findSessions()) {
            session.setMaxInactiveInterval(minutes * 60);
        }
    }
}

注意：不同Servlet容器（如Jetty、Undertow）的API存在差异，需根据实际容器适配实现。

2. 分布式Spring Session（如Redis）场景 #

使用Spring Session时，需同时更新全局配置和已有会话的过期时间：

@Autowired
private RedisOperations<String, Object> redisOperations;
@Value("${spring.session.redis.namespace:spring:session}")
private String sessionNamespace;

public void updateSessionTimeout(int seconds) {
    // 更新全局配置，后续新会话采用新超时时间
    System.setProperty("spring.session.timeout", String.valueOf(seconds));
    // 批量更新Redis中已有会话的过期时间
    Set<String> sessionKeys = redisOperations.keys(sessionNamespace + ":sessions:*");
    if (!CollectionUtils.isEmpty(sessionKeys)) {
        redisOperations.expireEach(sessionKeys, Duration.ofSeconds(seconds));
    }
}

二、动态修改单用户最大会话数 #

1. 自定义动态会话控制策略 #

继承Spring Security的ConcurrentSessionControlAuthenticationStrategy，让其支持动态读取最大会话数：

@Component
public class DynamicConcurrentSessionStrategy extends ConcurrentSessionControlAuthenticationStrategy {
    private final AtomicInteger maxSessions = new AtomicInteger(1);

    public DynamicConcurrentSessionStrategy(SessionRegistry sessionRegistry) {
        super(sessionRegistry);
        super.setMaximumSessions(maxSessions.get());
    }

    // 提供更新最大会话数的方法
    public void updateMaxSessions(int max) {
        maxSessions.set(max);
        super.setMaximumSessions(max);
    }

    // 重写方法，返回当前动态配置的最大会话数
    @Override
    protected int getMaximumSessionsForThisUser(Authentication authentication) {
        return maxSessions.get();
    }
}

2. 替换Security配置中的默认策略 #

在Security配置类中替换默认策略，确保动态逻辑生效：

@Configuration
public class SecurityConfig {
    @Autowired
    private SessionRegistry sessionRegistry;

    @Bean
    public SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new DynamicConcurrentSessionStrategy(sessionRegistry);
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .sessionManagement(session -> session
                .maximumSessions(1) // 初始值仅作为 fallback，会被动态策略覆盖
                .sessionRegistry(sessionRegistry)
            );
        return http.build();
    }
}

3. 强制清理超出限制的已有会话 #

动态降低最大会话数时，需主动清理用户超出限制的旧会话：

@Autowired
private SessionRegistry sessionRegistry;
@Autowired
private DynamicConcurrentSessionStrategy sessionStrategy;

public void enforceMaxSessions(int max) {
    sessionStrategy.updateMaxSessions(max);
    // 遍历所有已认证用户的会话
    for (Object principal : sessionRegistry.getAllPrincipals()) {
        List<SessionInformation> sessions = sessionRegistry.getAllSessions(principal, false);
        if (sessions.size() > max) {
            // 将超出部分的会话标记为过期，用户下次操作会被踢下线
            for (int i = max; i < sessions.size(); i++) {
                sessions.get(i).expireNow();
            }
        }
    }
}

三、暴露操作接口供用户触发配置 #

编写Controller接口，让授权用户可以通过HTTP请求触发动态配置：

@RestController
@RequestMapping("/session/config")
public class SessionConfigController {
    @Autowired
    private SessionConfigService sessionConfigService; // 封装上述逻辑的服务类

    @PostMapping("/timeout")
    public ResponseEntity<Void> updateSessionTimeout(@RequestParam int minutes) {
        sessionConfigService.updateSessionTimeout(minutes);
        return ResponseEntity.ok().build();
    }

    @PostMapping("/max-sessions")
    public ResponseEntity<Void> updateMaxSessions(@RequestParam int max) {
        sessionConfigService.enforceMaxSessions(max);
        return ResponseEntity.ok().build();
    }
}

内容的提问来源于stack exchange，提问作者Alok P