Tomcat应用单浏览器登录：不使用maxActiveSessions的并发会话管理方案

方案一：基于Tomcat SessionListener + 本地缓存（单节点场景） #

这个方案能简化会话ID的维护，利用Tomcat的会话生命周期事件自动清理无效会话，解决你之前手动维护的痛点：

1. 全局缓存存储用户与有效会话的映射
   用ConcurrentHashMap<String, HttpSession>做全局存储（键为用户ID，值为当前有效会话），封装在单例工具类里：

   public class UserSessionManager {
       private static final ConcurrentHashMap<String, HttpSession> USER_SESSIONS = new ConcurrentHashMap<>();
   
       public static void bindUserSession(String userId, HttpSession session) {
           // 替换旧会话并主动失效
           HttpSession oldSession = USER_SESSIONS.put(userId, session);
           if (oldSession != null && !oldSession.equals(session)) {
               oldSession.invalidate();
           }
       }
   
       public static void unbindUserSession(String userId) {
           USER_SESSIONS.remove(userId);
       }
   }
   

2. 实现HttpSessionListener自动清理失效会话
   当会话超时或被主动销毁时，自动从缓存中移除对应映射，不用手动在登出逻辑里处理：

   public class CustomSessionListener implements HttpSessionListener {
       @Override
       public void sessionDestroyed(HttpSessionEvent se) {
           HttpSession session = se.getSession();
           String userId = (String) session.getAttribute("userId");
           if (userId != null) {
               HttpSession currentSession = UserSessionManager.USER_SESSIONS.get(userId);
               if (currentSession != null && currentSession.equals(session)) {
                   UserSessionManager.unbindUserSession(userId);
               }
           }
       }
   }
   

   在web.xml中注册这个监听器：

   <listener>
       <listener-class>com.yourpackage.CustomSessionListener</listener-class>
   </listener>
   

3. 登录逻辑改造
   用户登录验证通过后，直接调用UserSessionManager.bindUserSession(userId, request.getSession())，就能自动失效旧会话并绑定新会话。

方案二：基于数据库存储有效会话ID（适合多节点/持久化场景） #

如果后续要扩展Tomcat集群，本地缓存会有一致性问题，改用数据库存储用户的最新有效会话ID更稳妥：

1. 数据库表设计
   创建user_active_session表，字段包含：user_id（主键）、session_id、create_time。

2. 登录时更新会话记录
   用户登录成功后执行以下步骤：

   • 查询该用户的旧会话ID
   • 通过Tomcat的Manager接口主动失效旧会话
   • 插入/更新该用户的最新会话ID到数据库

   示例代码（获取Tomcat的SessionManager失效旧会话）：

   public void invalidateOldSession(HttpServletRequest request, String oldSessionId) {
       if (oldSessionId == null) return;
       Context context = (Context) request.getServletContext().getAttribute("javax.servlet.context.tomcatInstance");
       Manager manager = context.getManager();
       try {
           HttpSession oldSession = manager.findSession(oldSessionId);
           if (oldSession != null) {
               oldSession.invalidate();
           }
       } catch (IOException e) {
           e.printStackTrace();
       }
   }
   

3. 会话验证过滤器
   在请求过滤器中，检查当前会话ID是否与数据库中该用户的有效会话ID一致，不一致则强制登出：

   public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
       HttpServletRequest req = (HttpServletRequest) request;
       HttpSession session = req.getSession(false);
       if (session != null) {
           String userId = (String) session.getAttribute("userId");
           if (userId != null) {
               String validSessionId = getValidSessionIdFromDB(userId); // 从数据库查询最新会话ID
               if (!session.getId().equals(validSessionId)) {
                   session.invalidate();
                   ((HttpServletResponse) response).sendRedirect("/login");
                   return;
               }
           }
       }
       chain.doFilter(request, response);
   }
   

方案优势对比 #

• 方案一利用HttpSessionListener自动清理无效会话，省去了你之前手动维护缓存的步骤；绑定会话时自动处理旧会话失效，逻辑更简洁。
• 方案二更适合集群场景，能保证多节点间会话状态一致，同时数据库存储的会话ID可持久化，避免服务器重启后丢失状态。

内容的提问来源于stack exchange，提问作者Tanmay Gujar