Moqui中如何禁止同一账号在多端或多浏览器同时登录

HttpSessionBindingListener属于Servlet容器层级的会话监听能力，只能感知单个JVM内同浏览器会话的绑定事件，天然无法覆盖跨浏览器、跨设备甚至集群节点的会话场景，无法满足需求属于正常情况。

实现核心思路 #

基于Moqui自带的UserSession实体做全局会话管控，不需要额外引入第三方组件，同时适配单机、集群部署场景。

具体实现步骤 #

• 第一步：复用原生UserSession实体字段
  原生UserSession已经内置userId、sessionId、lastActiveDateTime、isClosed核心字段，无需额外新增字段，登录校验时直接查询同一个userId下isClosed = 'N'的有效会话记录即可。
• 第二步：重写登录校验逻辑
  修改moqui.security.AuthenticationServices下的login服务，在账号密码校验通过、创建新会话前增加全局会话校验逻辑：

  // 校验当前账号是否存在未关闭的活跃会话
  List<EntityValue> activeSessions = entityFacade.find("moqui.security.UserSession")
          .condition("userId", userId)
          .condition("isClosed", "N")
          .list()
  if (activeSessions) {
      // 两种处置逻辑二选一，可根据业务需求调整
      // 方案1：禁止新登录，返回错误提示
      return error("当前账号已在其他设备登录，请先退出后再尝试")
      // 方案2：踢下线所有旧会话，允许新登录
      activeSessions.each { oldSession ->
          // 标记旧会话为已关闭
          oldSession.set("isClosed", "Y")
          oldSession.update()
          // 清理Moqui全局会话缓存
          executionContext.session.removeUserSession(oldSession.sessionId)
      }
  }
  

• 第三步：新增全局请求拦截校验
  实现Moqui的WebappInterceptor接口，给所有需要登录权限的接口、页面增加请求前置校验：每次请求时校验当前会话对应的UserSession记录是否为isClosed = 'Y'，如果是则直接销毁当前会话、跳转登录页：

  String currentSessionId = executionContext.session.sessionId
  EntityValue currentUserSession = entityFacade.find("moqui.security.UserSession")
          .condition("sessionId", currentSessionId)
          .condition("isClosed", "N")
          .one()
  if (!currentUserSession) {
      executionContext.session.invalidate()
      response.sendRedirect("/login")
      return false
  }
  // 同步更新会话最后活跃时间，避免会话过期误判
  currentUserSession.set("lastActiveDateTime", new Timestamp(System.currentTimeMillis()))
  currentUserSession.update()
  

• 第四步：适配异常退出场景
  Moqui原生的主动退出、会话过期逻辑已经会自动将对应UserSession记录的isClosed字段更新为Y，无需额外修改即可直接复用。

方案优势 #

• 完全基于Moqui原生能力实现，无额外依赖，兼容性强
• 天然支持跨浏览器、跨设备、跨集群节点的会话管控，只要所有服务节点连接同一个数据库即可生效
• 支持「禁止新登录」「踢下线旧登录」两种处置逻辑，可灵活切换适配不同业务要求

内容的提问来源于stack exchange，提问作者M.A.M