WebSphere如何配置禁止同一用户账号同时存在多个登录会话

以下配置完全适配你当前IIS+WebSphere插件+LDAP认证的架构，不需要修改业务应用代码，全部在WebSphere控制台完成配置即可。

核心会话限制配置 #

1. 登录WebSphere管理控制台，根据你的配置范围选择入口：如果要全局生效就进「全局安全」菜单，如果只给当前对接IIS的应用服务器/集群生效，就先选中对应服务器实例再进安全配置页。
2. 依次进入：会话管理 > 自定义属性 页面，新增以下3个属性，注意属性名严格区分大小写：
   • 新增属性com.ibm.websphere.security.session.maxSessionsPerUser，值设为1：这是核心开关，直接限制单个认证用户最多持有1个有效会话
   • 新增属性com.ibm.websphere.security.session.allowNewSessionOnExisting，值设为false：匹配你要的「阻止新会话创建」逻辑，用户已有有效会话时直接拦截新登录请求，不会挤掉之前的有效会话
   • 新增属性com.ibm.websphere.security.session.trackUserSessionsAcrossApps，值设为true：保证会话统计跨该实例/集群下所有关联应用生效，不会出现同个用户在不同应用路径下生成多个独立会话的漏洞

LDAP对接适配检查 #

• 先确认LDAP注册中心配置的用户唯一标识属性全局唯一：对接OpenLDAP一般用uid，对接AD域一般用sAMAccountName，别用cn这类可能重名的属性，否则会出现不同用户被误判为同一人、或者同个用户被识别成多个身份的问题
• 把WebSphere安全缓存超时时间和你设置的应用会话超时时间设为一致，避免缓存不同步导致会话统计不准，配置路径是「全局安全 > 自定义属性」，修改com.ibm.websphere.security.cacheTimeout的值即可，单位是秒，比如会话超时设为1800秒（30分钟），这里也填1800。

集群/IIS插件场景适配 #

• 如果是WebSphere集群部署，必须先开分布式会话持久化，选数据库持久化或者内存到内存复制都可以，不然每个节点各自统计会话数，限制规则会失效。配置路径是对应集群的「会话管理 > 分布式环境」，按向导完成持久化配置即可
• 前端IIS上装的WebSphere插件不需要改额外配置，只要保持默认开启的会话亲和性（Session Affinity）开关没被手动关闭就行，这个是插件默认生效的配置。

配置生效与验证 #

• 所有配置保存后，重启对应的WebSphere应用服务器/集群节点即可生效
• 验证逻辑：
  • 用同一个LDAP账号在第一个浏览器/设备登录，确认应用访问正常
  • 换其他设备、或者同个设备开无痕窗口/换其他浏览器，用同一个账号再次尝试登录，此时会直接被拦截，无法创建新会话，第一次登录的账号可以正常使用不受影响
  • 等第一个会话超时、或者手动在第一个端注销账号后，再尝试登录就可以正常进入
• 如果需要自定义拦截后的提示页，直接在WebSphere错误页配置里，给会话超限对应的403错误配置自定义跳转页就行。

内容的提问来源于stack exchange，提问作者Manish