最新Spring Security实战教程（十三）会话管理机制 - 并发控制与会话固定攻击防护

Ne0inhk

— 10 min read
最新Spring Security实战教程（十三）会话管理机制 - 并发控制与会话固定攻击防护
在这里插入图片描述
🌷 古之立大事者，不惟有超世之才，亦必有坚忍不拔之志
🎐 个人CSND主页——Micro麦可乐的博客
🐥《Docker实操教程》专栏以最新的Centos版本为基础进行Docker实操教程，入门到实战
🌺《RabbitMQ》专栏19年编写主要介绍使用JAVA开发RabbitMQ的系列教程，从基础知识到项目实战
🌸《设计模式》专栏以实际的生活场景为案例进行讲解，让大家对设计模式有一个更清晰的理解
🌛《开源项目》本专栏主要介绍目前热门的开源项目，带大家快速了解并轻松上手使用
✨《开发技巧》本专栏包含了各种系统的设计原理以及注意事项，并分享一些日常开发的功能小技巧
💕《Jenkins实战》专栏主要介绍Jenkins+Docker的实战教程，让你快速掌握项目CI/CD，是2024年最新的实战教程
🌞《Spring Boot》专栏主要介绍我们日常工作项目中经常应用到的功能以及技巧，代码样例完整
🌞《Spring Security》专栏中我们将逐步深入Spring Security的各个技术细节，带你从入门到精通，全面掌握这一安全技术
如果文章能够给大家带来一定的帮助！欢迎关注、评论互动～

最新Spring Security实战教程（十三）会话管理机制 - 并发控制与会话固定攻击防护

回顾链接：
最新Spring Security实战教程（一）初识Spring Security安全框架
最新Spring Security实战教程（二）表单登录定制到处理逻辑的深度改造
最新Spring Security实战教程（三）Spring Security 的底层原理解析
最新Spring Security实战教程（四）基于内存的用户认证
最新Spring Security实战教程（五）基于数据库的动态用户认证传统RBAC角色模型实战开发
最新Spring Security实战教程（六）最新Spring Security实战教程（六）基于数据库的ABAC属性权限模型实战开发
最新Spring Security实战教程（七）方法级安全控制@PreAuthorize注解的灵活运用
最新Spring Security实战教程（八）Remember-Me实现原理 - 持久化令牌与安全存储方案
最新Spring Security实战教程（九）前后端分离认证实战 - JWT+SpringSecurity无缝整合
最新Spring Security实战教程（十）权限表达式进阶 - 在SpEL在安全控制中的高阶魔法
最新Spring Security实战教程（十一）CSRF攻防实战 - 从原理到防护的最佳实践
最新Spring Security实战教程（十二）CORS安全配置 - 跨域请求的安全边界设定

专栏更新完毕后，博主将会上传所有章节代码到ZEEKLOG资源免费给大家下载，如你不想等后续章节代码需提前获取，可以私信或留言！

1. 前言

在Web应用安全体系中，会话管理是认证授权后的重要防线。攻击者常通过会话劫持与会话固定突破系统边界，而业务系统则面临并发滥用带来的资源风险。

Spring Security 的会话管理模块由 SessionManagementFilter 与一系列 SessionAuthenticationStrategy 共同协作，负责在用户登录或访问受保护资源时执行统一的会话检查与策略​。默认情况下，框架允许单个用户拥有无限多个并发会话，而在每次登录时会执行会话固定保护策略，将旧 Session ID 迁移到新 Session 中，以防止攻击者利用已有的 Session ID 进行劫持。

在本章节博主将基于 Spring Security 6，带着小伙伴深入解析会话管理的安全实践。

2. 会话固定攻击防护原理

2.1 攻击概述

会话固定（Session Fixation）指攻击者诱导受害者在已知的 Session ID 下登录，随后持该 ID 进行未授权操作。Spring Security 通过 会话固定保护策略，在每次用户登录后刷新 Session ID 来防御此类攻击

攻击流程解析:

在这里插入图片描述

2.2 Spring Security防御策略

SessionManagementFilter 在认证成功后，会调用相应的 SessionAuthenticationStrategy，执行上述策略。migrateSession() 在底层通过 HttpServletRequest.changeSessionId() 或复制属性到新 Session 来实现 ID 刷新，有效防止攻击者使用固定 ID 进行入侵

配置样例

@Configuration@EnableWebSecuritypublicclassSecurityConfig{@BeanpublicSecurityFilterChainsecurityFilterChain(HttpSecurity http)throwsException{ http // 启用会话固定防护，采用迁移会话策略.sessionManagement(session -> session .sessionFixation(fix -> fix.migrateSession()// 默认：保留旧数据，生成新 Session ID// fix.changeSessionId // 变更会话ID// fix.newSession() // 完全新建 Session，不保留任何属性// fix.none() // 禁用保护（不推荐）)).authorizeHttpRequests(auth -> auth .anyRequest().authenticated());return http.build();}}

配置说明

none：不做任何处理，不推荐使用changeSessionId：认证后变更会话IDnewSession：创建全新、干净的 Session，不复制原属性；migrateSession（默认）：创建新 Session 并复制原有属性，保留必要数据同时更换 ID，防范攻击者利用旧 ID

3. 并发会话控制方案

当同一账号在多个地方登录后，可能带来数据冲突、授权混乱甚至资源浪费。Spring Security 通过并发会话控制，可限制用户的最大在线会话数，并在超过限制时选择“踢出旧会话”或“拒绝新登录”两种策略

3.1 为什么要限制并发会话？

  • 防止账号共享：同一账号在多处登录可能意味着凭证泄露；
  • 防范会话劫持：一旦旧会话被劫持，可通过限制数量来自动踢出旧会话

3.2 核心组件

  • SessionRegistry：维护用户与其活跃 Session 的映射；
  • ConcurrentSessionControlAuthenticationStrategy：在用户登录时检查并发会话数量，超过上限可抛出 SessionAuthenticationException 或踢出最早会话；
  • HttpSessionEventPublisher：侦听 HttpSessionEvent，在 Session 销毁时同步更新 SessionRegistry

3.3 配置样例

@Configuration@EnableWebSecuritypublicclassSecurityConfig{// 1. 注册Session事件监听器，以使 Spring Security 能够及时了解会话生命周期事件@BeanpublicHttpSessionEventPublisherhttpSessionEventPublisher(){returnnewHttpSessionEventPublisher();}@BeanpublicSecurityFilterChainfilterChain(HttpSecurity http)throwsException{ http .sessionManagement(session -> session .maximumSessions(1)// 同一用户仅允许 1 个会话.maxSessionsPreventsLogin(true)// 超出拒绝后续登录；false 则踢出最早会话.expiredUrl("/login?expired")// 会话过期后重定向地址);return http.build();}}

4. 测试验证方案

为了演示本次并发控制与会话固定攻击防护的功能，这里博主借鉴官方的样例代码稍做调整进行演示

官方样例代码：https://github.com/spring-projects/spring-security-samples/tree/main/servlet/spring-boot/java/session-management/maximum-sessions

❶ 确保引入spring-security-test

<dependencies><dependency><groupId>org.springframework.security</groupId><artifactId>spring-security-test</artifactId></dependency></dependencies>

❷ 编写配置类

@Configuration@EnableWebSecuritypublicclassSessionSecurityConfig{// 1. 注册Session事件监听器，以使 Spring Security 能够及时了解会话生命周期事件@BeanpublicHttpSessionEventPublisherhttpSessionEventPublisher(){returnnewHttpSessionEventPublisher();}@BeanpublicSecurityFilterChainfilterChain(HttpSecurity http)throwsException{ http .authorizeHttpRequests((authorizeRequests)-> authorizeRequests .anyRequest().authenticated()).formLogin(withDefaults()).sessionManagement(session -> session .sessionFixation(sf -> sf.migrateSession()).maximumSessions(1)// 同一用户仅允许 1 个会话.maxSessionsPreventsLogin(true)// 超出拒绝后续登录；false 则踢出最早会话.expiredUrl("/login?expired")// 会话过期后重定向地址);return http.build();}@BeanpublicUserDetailsServiceuserDetailsService(){UserDetails user =User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build();returnnewInMemoryUserDetailsManager(user);}}

❸ 编写测试请求

@RestControllerpublicclassHomeController{@GetMapping("/")publicStringhello(){return"hello";}}

❹ 编写测试类

importcom.toher.springsecurity.demo.session.management.DemoSessionApplication;importorg.junit.jupiter.api.Test;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.boot.test.autoconfigure.web.servlet.AutoConfigureMockMvc;importorg.springframework.boot.test.context.SpringBootTest;importorg.springframework.mock.web.MockHttpSession;importorg.springframework.test.web.servlet.MockMvc;importorg.springframework.test.web.servlet.MvcResult;importstaticorg.springframework.security.test.web.servlet.request.SecurityMockMvcRequestBuilders.formLogin;importstaticorg.springframework.security.test.web.servlet.response.SecurityMockMvcResultMatchers.authenticated;importstaticorg.springframework.security.test.web.servlet.response.SecurityMockMvcResultMatchers.unauthenticated;importstaticorg.springframework.test.web.servlet.request.MockMvcRequestBuilders.get;/** * @Description: * @Auther: Micro麦可乐 */@SpringBootTest(classes =DemoSessionApplication.class)// 替换为实际的主配置类@AutoConfigureMockMvcpublicclassSessionConcurrencyTest{@AutowiredprivateMockMvc mockMvc;@TestvoidtestConcurrentLogin()throwsException{// 第一次登录MvcResult mvcResult = mockMvc.perform(formLogin()).andExpect(authenticated()).andReturn();MockHttpSession firstLoginSession =(MockHttpSession) mvcResult.getRequest().getSession(); mockMvc.perform(get("/").session(firstLoginSession)).andExpect(authenticated());// 第二次登录将被拒绝 mockMvc.perform(formLogin()).andExpect(authenticated());// 验证第一次会话已失效 mockMvc.perform(get("/").session(firstLoginSession)).andExpect(unauthenticated());}}

❺ 并行运行测试

我们需要观察控制台信息返回，小伙伴可以调整 .maxSessionsPreventsLogin(true) 值以测试第二次登陆是拒绝，还是退出最早会话
第一次登陆请求

测试请求获取数据

再次登陆发起请求返回登陆页

❻ 会话固定攻击模拟

# 获取初始会话IDcurl -I http://localhost:8080/login Set-Cookie: JSESSIONID=12345;Path=/; HttpOnly # 使用固定会话ID尝试认证curl -X POST http://localhost:8080/login \ -H "Cookie: JSESSIONID=12345"\ -d "username=admin&password=123456"# 验证响应是否生成新会话ID Set-Cookie: JSESSIONID=67890;Path=/; HttpOnly
以该 ID 发起登录请求，登录后检查返回的 Set-Cookie 中 Session ID 是否已更换，验证 ID 刷新策略

5. 会话事件监听器

很多时候我们会话失效我们会进行一些操作，如：日记记录，那么就可以会话事件监听器来实现，如

@ComponentpublicclassSessionActivityListenerimplementsApplicationListener<SessionDestroyedEvent>{@OverridepublicvoidonApplicationEvent(SessionDestroyedEvent event){ event.getSecurityContexts().forEach(context ->{AuditLog.log("会话终止", context.getAuthentication().getName(),"原因: "+ event.getSessionId());});}}

6. 结语

通过本章节的讲解配置与实战示例，结合 sessionFixation().migrateSession() 与 maximumSessions(...) 等配置，相信小伙伴已掌握 Spring Security 的并发会话控制与会话固定防护策略，能够为应用构建坚实的会话安全防线。

如果你在实践过程中有任何疑问或更好的扩展思路，欢迎在评论区留言，最后希望大家 一键三连 给博主一点点鼓励！

Read more

《算法题讲解指南：优选算法-分治-快排》--45.数组中的第k个最大元素，46.最小的k个数

《算法题讲解指南：优选算法-分治-快排》--45.数组中的第k个最大元素，46.最小的k个数

🔥小叶-duck：个人主页 ❄️个人专栏：《Data-Structure-Learning》 《C++入门到进阶&自我学习过程记录》《算法题讲解指南》--优选算法 ✨未择之路，不须回头 已择之路，纵是荆棘遍野，亦作花海遨游 目录 45.数组中的第k个最大元素 题目链接： 题目描述： 题目示例： 解法(快速选择算法)： 算法思路： C++算法代码： 算法总结及流程解析： 46.最小的k个数 题目链接： 题目描述： 题目示例： 编辑 解法(快速选择算法)： 算法思路： C++算法代码： 算法总结及流程解析： 结束语 45.数组中的第k个最大元素 题目链接： 215. 数组中的第K个最大元素 - 力扣（LeetCode） 题目描述： 题目示例：

By Ne0inhk

uv虚拟环境管理：venv创建、激活与Python版本指定

uv虚拟环境管理：venv创建、激活与Python版本指定 【免费下载链接】uvAn extremely fast Python package installer and resolver, written in Rust. 项目地址: https://gitcode.com/GitHub_Trending/uv/uv 引言：虚拟环境管理的痛点与解决方案 在Python开发中，虚拟环境（Virtual Environment）是隔离项目依赖的关键工具。传统工具如venv和virtualenv存在创建速度慢、版本管理繁琐等问题。uv作为一款用Rust编写的极速Python包管理器，提供了更高效的虚拟环境管理方案。本文将详细介绍如何使用uv创建、激活虚拟环境，并灵活指定Python版本，帮助开发者解决环境一致性和版本控制的痛点。 读完本文后，你将能够： * 使用uv快速创建虚拟环境 * 在不同操作系统下激活虚拟环境 * 灵活指定和管理Python版本 * 解决多项目环境冲突问题 * 利用uv的高级特性提升开发效率 uv虚拟环境基础 什么是虚拟环境 虚拟环境（

By Ne0inhk

【Python零基础到精通】第3讲 | 分布式系统：微服务架构与云原生实践

Python版本：Python 3.12+ 开发工具：PyCharm 或 VS Code 操作系统：Windows / macOS / Linux (通用) 1. 说在前面：从单体到分布式，架构师的必经之路 兄弟们，如果你在公司做项目，可能会遇到这样的情况：一开始项目很小，所有功能都写在一个代码库里，部署在一台服务器上。这就是单体架构。 随着业务增长，单体架构开始暴露问题： * 代码量越来越大，改一个功能可能影响其他功能。 * 部署越来越慢，改一行代码要重新部署整个系统。 * 扩展困难，用户服务压力大，但订单服务不需要扩展，却被迫一起扩容。 这时候，微服务架构就登场了。把一个大系统拆分成多个小服务，每个服务独立部署、独立扩展。但拆分之后，服务之间怎么通信？数据怎么同步？这就涉及到分布式系统的核心知识。 这一讲，咱们聊聊分布式系统的入门知识，包括微服务架构设计、消息队列、分布式锁等核心概念，以及2024-2025年最新的云原生技术趋势。

By Ne0inhk
【Python库和代码案例：第一课】Python 标准库与第三方库实战指南：从日期处理到 Excel 操作

【Python库和代码案例：第一课】Python 标准库与第三方库实战指南：从日期处理到 Excel 操作

🎬 个人主页：艾莉丝努力练剑 ❄专栏传送门：《C语言》《数据结构与算法》《C/C++干货分享&学习过程记录》 《Linux操作系统编程详解》《笔试/面试常见算法：从基础到进阶》《Python干货分享》 ⭐️为天地立心，为生民立命，为往圣继绝学，为万世开太平 🎬 艾莉丝的简介： 文章目录 * 1 ~> 使用库：标准库和第三方库 * 2 ~> 标准库 * 2.1 认识标准库 * 2.1.1 理论 * 2.2 使用 import 导入模块 * 2.2.1 理论 * 2.2.2 最佳实践 * 2.3

By Ne0inhk