shiro实现单点登录(一个用户同一时刻只能在一个地方登录)

我这里 shiro 并没有集成 springmvc，直接使用 ini 配置文件。

shiro.ini

[main]
# objects and their properties are defined here,
# such as the securitymanager, realms and anything
# else needed to build the securitymanager
authc.loginurl = /login.jsp
authc.successurl = /web/index.jsp
#cache manager
builtincachemanager = org.apache.shiro.cache.memoryconstrainedcachemanager
securitymanager=org.apache.shiro.web.mgt.defaultwebsecuritymanager
securitymanager.cachemanager = $builtincachemanager
securitymanager.sessionmanager=$sessionmanager
#session 必须配置session，强制退出时，通过将session移除实现
sessionmanager=org.apache.shiro.web.session.mgt.defaultwebsessionmanager
sessionmanager.sessiondao=$sessiondao
sessiondao=org.apache.shiro.session.mgt.eis.memorysessiondao
# create ldap realm
ldaprealm = org.apache.shiro.realm.ldap.jndildaprealm
#......
# configure jdbc realm datasource
datasource = org.postgresql.ds.pgpoolingdatasource
#.......
# create jdbc realm.
jdbcrealm.permissionslookupenabled = true
jdbcrealm = org.apache.shiro.realm.jdbc.jdbcrealm
jdbcrealm.userrolesquery = ......
jdbcrealm.permissionsquery = ......
jdbcrealm.datasource = $datasource
#self realm
localauthorizingrealm = com.redbudtek.shiro.localauthorizingrealm
securitymanager.realms = $ldaprealm, $localauthorizingrealm

在 localauthorizingrealm 中，用户登录进行认证之前，先将该用户的其他session移除：

@override
protected authenticationinfo dogetauthenticationinfo(authenticationtoken authenticationtoken) throws authenticationexception {
string username = (string)authenticationtoken.getprincipal();
//处理session
defaultwebsecuritymanager securitymanager = (defaultwebsecuritymanager) securityutils.getsecuritymanager();
defaultwebsessionmanager sessionmanager = (defaultwebsessionmanager)securitymanager.getsessionmanager();
collection<session> sessions = sessionmanager.getsessiondao().getactivesessions();//获取当前已登录的用户session列表
for(session session:sessions){
//清除该用户以前登录时保存的session
if(username.equals(string.valueof(session.getattribute(defaultsubjectcontext.principals_session_key)))) {
sessionmanager.getsessiondao().delete(session);
}
}
string pwd = null;
return new simpleauthenticationinfo(username,pwd,getname());
}

当session删除之后，必须有客户端与服务器端的交互，shiro才能进行认证判断。在与服务器交互时，subject信息截图如下：

此时的登录的用户认证已经失效，可以对客户端做出响应。

以上所述是小编给大家介绍的shiro实现单点登录(一个用户同一时刻只能在一个地方登录)，希望对大家有所帮助