J'utilise la sécurité de printemps dans mon application Web et je souhaite maintenant avoir une liste de tous les utilisateurs connectés à mon programme.
Comment puis-je avoir accès à cette liste? Ne sont-ils pas déjà conservés quelque part dans le cadre du printemps? CommeSecurityContextHolderouSecurityContextRepository?
Pour accéder à la liste de tous les utilisateurs connectés, vous devez injecter une instance SessionRegistry dans votre bean.
@Autowired
@Qualifier("sessionRegistry")
private SessionRegistry sessionRegistry;
Et puis en utilisant SessionRegistry injcted vous pouvez accéder à la liste de tous les principaux:
List<Object> principals = sessionRegistry.getAllPrincipals();
List<String> usersNamesList = new ArrayList<String>();
for (Object principal: principals) {
if (principal instanceof User) {
usersNamesList.add(((User) principal).getUsername());
}
}
Mais avant d’injecter le registre de session, vous devez définir le composant de gestion de session dans votre spring-security.xml (voir la section Gestion de session de la documentation de référence Spring Security ) et dans la section de contrôle de concurrence, vous devez définir un alias pour un objet de registre de session ( session-registry-alias) par lequel vous allez l'injecter.
<security:http access-denied-page="/error403.jsp" use-expressions="true" auto-config="false">
<security:session-management session-fixation-protection="migrateSession" session-authentication-error-url="/login.jsp?authFailed=true">
<security:concurrency-control max-sessions="1" error-if-maximum-exceeded="true" expired-url="/login.html" session-registry-alias="sessionRegistry"/>
</security:session-management>
...
</security:http>
Dans JavaConfig, cela ressemblerait à ceci:
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(final HttpSecurity http) throws Exception {
// ...
http.sessionManagement().maximumSessions(1).sessionRegistry(sessionRegistry());
}
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
@Bean
public ServletListenerRegistrationBean<HttpSessionEventPublisher> httpSessionEventPublisher() {
return new ServletListenerRegistrationBean<HttpSessionEventPublisher>(new HttpSessionEventPublisher());
}
}
Avec le code d'appel ressemblant à ceci:
public class UserController {
@Autowired
private SessionRegistry sessionRegistry;
public void listLoggedInUsers() {
final List<Object> allPrincipals = sessionRegistry.getAllPrincipals();
for(final Object principal : allPrincipals) {
if(principal instanceof SecurityUser) {
final SecurityUser user = (SecurityUser) principal;
// Do something with user
System.out.println(user);
}
}
}
}
Notez que SecurityUser
est ma propre classe qui implémente UserDetails
.
Corrigez-moi si j'ai tort, s'il-vous plait.
Je pense que @ Adam's la réponse est incomplète. J'ai remarqué que les sessions déjà expirées dans la liste réapparaissaient.
public class UserController {
@Autowired
private SessionRegistry sessionRegistry;
public void listLoggedInUsers() {
final List<Object> allPrincipals = sessionRegistry.getAllPrincipals();
for (final Object principal : allPrincipals) {
if (principal instanceof SecurityUser) {
final SecurityUser user = (SecurityUser) principal;
List<SessionInformation> activeUserSessions =
sessionRegistry.getAllSessions(principal,
/* includeExpiredSessions */ false); // Should not return null;
if (!activeUserSessions.isEmpty()) {
// Do something with user
System.out.println(user);
}
}
}
}
}
J'espère que ça aide.
S'il vous plaît corrigez-moi si je me trompe aussi.
Je pense que la réponse de @ Adam et de elysch est incomplète. J'ai remarqué qu'il est nécessaire d'ajouter un auditeur:
servletContext.addListener(HttpSessionEventPublisher.class);
à
public class AppInitializer implements WebApplicationInitializer {
@Override
public void onStartup(ServletContext servletContext) {
...
servletContext.addListener(HttpSessionEventPublisher.class);
}
avec conf de sécurité:
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(final HttpSecurity http) throws Exception {
// ...
http.sessionManagement().maximumSessions(1).sessionRegistry(sessionRegistry());
}
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
@Bean
public HttpSessionEventPublisher httpSessionEventPublisher() {
return new HttpSessionEventPublisher();
}
}
Et ensuite, vous obtiendrez des utilisateurs en ligne actuels!
Vous devez injecter SessionRegistry
(comme mentionné précédemment) et ensuite le faire en un seul pipeline comme ceci:
public List<UserDetails> findAllLoggedInUsers() {
return sessionRegistry.getAllPrincipals()
.stream()
.filter(principal -> principal instanceof UserDetails)
.map(UserDetails.class::cast)
.collect(Collectors.toList());
}
Semblable à la solution @rolyanos, la mienne pour moi fonctionne toujours:
- pour le contrôleur
@RequestMapping(value = "/admin")
public String admin(Map<String, Object> model) {
if(sessionRegistry.getAllPrincipals().size() != 0) {
logger.info("ACTIVE USER: " + sessionRegistry.getAllPrincipals().size());
model.put("activeuser", sessionRegistry.getAllPrincipals().size());
}
else
logger.warn("EMPTY" );
logger.debug(log_msg_a + " access ADMIN page. Access granted." + ANSI_RESET);
return "admin";
}
- pour le devant
<tr th:each="activeuser, iterStat: ${activeuser}">
<th><b>Active users: </b></th> <td align="center" th:text="${activeuser}"></td>
</tr>
- pour le printemps
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
@Bean
public ServletListenerRegistrationBean<HttpSessionEventPublisher> httpSessionEventPublisher() {
return new ServletListenerRegistrationBean<HttpSessionEventPublisher>(new HttpSessionEventPublisher());
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.logout()
.logoutSuccessUrl("/home")
.logoutUrl("/logout")
.invalidateHttpSession(true)
.deleteCookies("JSESSIONID");
http.authorizeRequests()
.antMatchers("/", "/home")
.permitAll()
.antMatchers("/admin")
.hasRole("ADMIN")
.anyRequest()
.authenticated()
.and()
.formLogin()
.loginPage("/home")
.defaultSuccessUrl("/main")
.permitAll()
.and()
.logout()
.permitAll();
http.sessionManagement().maximumSessions(1).sessionRegistry(sessionRegistry());
http.authorizeRequests().antMatchers("/webjars/**").permitAll();
http.exceptionHandling().accessDeniedPage("/403");
}
J'ai trouvé cette note très importante et pertinente:
"[21] L’authentification par les mécanismes qui effectuent une redirection après l’authentification .__ (telle que la connexion à un formulaire) ne sera pas détectée par SessionManagementFilter, car le filtre ne sera pas appelé lors de la demande d’authentification. La fonctionnalité de gestion doit être traitée séparément dans ces cas. "
https://docs.spring.io/spring-security/site/docs/3.1.x/reference/session-mgmt.html#d0e4399
De plus, apparemment, beaucoup de gens ont du mal à obtenir sessionRegistry.getAllPrincipals () renvoyer quelque chose de différent d’un tableau vide. Dans mon cas, je l'ai corrigé en ajoutant le sessionAuthenticationStrategy à mon authenticationFilter personnalisé:
@Bean
public CustomUsernamePasswordAuthenticationFilter authenticationFilter() throws Exception {
...
authenticationFilter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy());
}
@Bean
public SessionRegistry sessionRegistry() {
return new SessionRegistryImpl();
}
//cf. https://stackoverflow.com/questions/32463022/sessionregistry-is-empty-when-i-use-concurrentsessioncontrolauthenticationstrate
public SessionAuthenticationStrategy sessionAuthenticationStrategy() {
List<SessionAuthenticationStrategy> stratList = new ArrayList<>();
SessionFixationProtectionStrategy concStrat = new SessionFixationProtectionStrategy();
stratList.add(concStrat);
RegisterSessionAuthenticationStrategy regStrat = new RegisterSessionAuthenticationStrategy(sessionRegistry());
stratList.add(regStrat);
CompositeSessionAuthenticationStrategy compStrat = new CompositeSessionAuthenticationStrategy(stratList);
return compStrat;
}