春のセキュリティセッションを無効にすることはできますか？

Question

私はTomcat 6.0.32、Spring Security 3.0.5を使用しています

私のWebアプリケーションでは、一部のユーザーが他のユーザーの権限を変更する権限を持っています。これが起こると、権限が変更されたユーザーのセッションが無効になります。これは可能でしょうか？

Answer 1

通常、HttpSessionにアクセスする唯一の方法はHttpServletRequestオブジェクトを使用するため、コンテナ固有のAPIを使用せずにアカウント情報を変更するとすぐにユーザーセッションを無効にすることはできません。

代わりに、メモリ内のストアにユーザー名をキャッシュし、フィルタまたはカスタムAccessDecisionVoterのいずれかで参照できます。フラグは実際には一時的なので（サーバーの再起動後は無関係です）、すべての要求に対してデータベースクエリのパフォーマンスヒットを避ける方が良いので、ユーザーテーブルにフラグを使用することは本当に良い考えではありません。

この種のものにはblog article on using custom votersがあります。時代遅れですが、一般的なアプローチは健全です。

もう1つの方法は、セッション管理機能の一部であるSpring SecurityのSessionRegistryを使用することです。通常、これはユーザーが持つことができるセッションの数を制限するために使用されますが、list currently authenticated usersにも使用できます。また、セッションの有効期限をマークすることもできます。

完全にログアウトするのではなく、ユーザーの権限をリロードするだけのアイデアかもしれません。

Answer 2

HTTPSessionオブジェクトには無効化メソッドがあります。ユーザーがいくつかのアクセス権を変更すると、このメソッドを呼び出して現在のセッションに対して無効化して再ロードする必要があります。

Answer 3

複数のサーバーでアプリケーションを実行していると仮定すると、これをすべてのサーバーで実行する方法が必要です。

1. ユーザprvisが変更されたときに更新されるユーザテーブル（または同等のもの）にタイムスタンプフィールドを追加します。

2. 現在のセッションが認証されているかどうかをチェックし、DBのユーザのタイムスタンプがセッションの作成時間よりも長いことを確認するサーブレットフィルタを作成します。もしそうなら、セッションを無効にしてどこかにリダイレクトしてください。

このフィルタは、Spring Securityフィルタの後に来る必要があります。

複数のサーバーでアプリケーションを実行していない場合は、SessionRegistryを使用できます。

Answer 4

私はこれがあなたが必要とするものだと信じています。ログインしているユーザーの一覧を取得し、必要のないユーザーのセッションを無効にします。

http://static.springsource.org/spring-security/site/docs/3.1.x/reference/session-mgmt.html#list-authenticated-principals