基于Spring Security与Spring MVC的企业应用单会话登录流程开发问询

老哥，我来给你捋清楚这个Spring MVC集成Spring Security的登录流程怎么实现，核心要搞定两个点：用户单会话限制，还有组A用户无历史会话登录时的角色选择分支。下面一步一步拆解实现方案：

Spring Security本身就提供了单会话控制的能力，我们只需要在安全配置里做针对性配置：

1.1 核心配置代码 #

首先配置SecurityFilterChain，加上会话管理规则：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http, SessionRegistry sessionRegistry) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/login", "/role-select").permitAll()
                .anyRequest().authenticated()
            )
            .formLogin(form -> form
                .loginPage("/login")
                .successHandler(customAuthenticationSuccessHandler()) // 后面要自定义这个处理器
                .permitAll()
            )
            .sessionManagement(session -> session
                .invalidSessionUrl("/login?invalid") // 会话失效时跳转的登录页（带提示参数）
                .maximumSessions(1) // 限制每个用户最多1个活跃会话
                .maxSessionsPreventsLogin(false) // 设为false：新登录踢掉旧会话；设为true：新登录被拒绝
                .sessionRegistry(sessionRegistry)
                .expiredUrl("/login?expired") // 旧会话被踢时跳转的登录页（带提示参数）
            );
        return http.build();
    }

    @Bean
    public SessionRegistry sessionRegistry() {
        return new SessionRegistryImpl(); // 用于跟踪用户的会话信息
    }

    @Bean
    public HttpSessionEventPublisher httpSessionEventPublisher() {
        return new HttpSessionEventPublisher(); // 监听会话销毁事件，更新SessionRegistry的统计
    }
}

1.2 配置说明 #

• maximumSessions(1)：直接限制每个用户只能有1个活跃会话；
• maxSessionsPreventsLogin：选false的话，新登录会让旧会话立即失效；选true的话，已有活跃会话时新登录会被拒绝；
• HttpSessionEventPublisher：必须配置，否则会话过期/销毁时，SessionRegistry不会自动更新，导致会话数统计错误。

这个逻辑需要在用户登录成功后做判断：如果是组A用户且无历史会话（首次登录，或之前的会话都已彻底销毁），就引导到角色选择页面；否则直接进入系统。

2.1 自定义登录成功处理器 #

创建CustomAuthenticationSuccessHandler，用来拦截登录成功后的跳转逻辑：

@Component
public class CustomAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    private final SessionRegistry sessionRegistry;

    public CustomAuthenticationSuccessHandler(SessionRegistry sessionRegistry) {
        this.sessionRegistry = sessionRegistry;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        UserDetails userDetails = (UserDetails) authentication.getPrincipal();
        
        // 判断当前用户是否属于组A（这里假设组A用户拥有GROUP_A权限）
        boolean isGroupA = authentication.getAuthorities().stream()
                .anyMatch(auth -> auth.getAuthority().equals("GROUP_A"));

        // 查询该用户的所有历史会话（包括已失效的），判断是否无历史会话
        List<SessionInformation> allSessions = sessionRegistry.getAllSessions(userDetails, true);
        boolean hasNoHistorySession = allSessions.isEmpty();

        if (isGroupA && hasNoHistorySession) {
            // 跳转到角色选择页面
            response.sendRedirect(request.getContextPath() + "/role-select");
        } else {
            // 正常跳转到系统首页
            response.sendRedirect(request.getContextPath() + "/home");
        }
    }
}

记得在SecurityConfig里把这个处理器注入到formLogin的successHandler中（就是上面代码里的customAuthenticationSuccessHandler()）。

2.2 角色选择页面与控制逻辑 #

创建一个Controller来处理角色选择的页面展示和提交：

@Controller
public class RoleSelectController {

    @GetMapping("/role-select")
    public String showRoleSelectPage(Model model, Authentication authentication) {
        UserDetails currentUser = (UserDetails) authentication.getPrincipal();
        // 把用户默认角色和可选角色传给页面（这里假设组A用户可选ROLE_A和ROLE_B）
        model.addAttribute("defaultRoles", currentUser.getAuthorities());
        model.addAttribute("availableRoles", Arrays.asList("ROLE_A", "ROLE_B"));
        return "role-select"; // 对应你的Thymeleaf/JSP页面
    }

    @PostMapping("/role-select")
    public String submitRoleSelection(@RequestParam("selectedRole") String selectedRole,
                                      Authentication authentication) {
        // 更新当前用户的权限信息
        Collection<GrantedAuthority> newAuthorities = new ArrayList<>();
        newAuthorities.add(new SimpleGrantedAuthority(selectedRole));
        
        // 创建新的Authentication对象，替换SecurityContext中的原有对象
        UsernamePasswordAuthenticationToken updatedAuth = new UsernamePasswordAuthenticationToken(
                authentication.getPrincipal(),
                authentication.getCredentials(),
                newAuthorities
        );
        SecurityContextHolder.getContext().setAuthentication(updatedAuth);

        // 跳转到系统首页
        return "redirect:/home";
    }
}

2.3 后续权限控制注意点 #

• 如果你用@PreAuthorize这类方法级权限注解，替换Authentication后会自动生效；
• 角色选择页面要确保只有刚登录的组A用户能访问，可在Controller里加额外校验（比如判断用户是否还未选择角色）。

• 场景A（无历史会话）：组A用户首次登录→登录成功后被引导到角色选择页面→选择角色后进入系统，此时只有1个活跃会话；
• 场景B（已有活跃会话）：组A用户在另一设备登录→根据配置，旧会话被踢掉（或新登录被拒绝）→新登录直接进入系统（不会触发角色选择，因为已有历史会话记录）。

内容的提问来源于stack exchange，提问作者mohsyd