Empêcher la connexion multiple en utilisant le même nom d'utilisateur et le même mot de passe

Si l'utilisateur ferme le navigateur sans vous déconnecter.

En particulier ce cas est difficile et pas fiable pour détecter. Vous pouvez utiliser le beforeunload des événements en Javascript, mais vous êtes entièrement dépendant si le navigateur a JS activé et le navigateur prend en charge ce non-événement standard (par exemple, l'Opéra n'est pas). C'est aussi l'une des raisons principales que je te suggère juste de déconnexion précédemment enregistrés l'utilisateur au lieu de prévenir la connexion. C'est aussi plus convivial et sécurisé pour le cas où l'utilisateur a "oublié" de vous déconnecter à partir de l'autre ordinateur.

Façon la plus simple est de laisser le User ont un static Map<User, HttpSession> variable et de le laisser mettre en œuvre HttpSessionBindingListener (et #equals() et #hashCode()).

public class User implements HttpSessionBindingListener {

    //All logins.
    private static Map<User, HttpSession> logins = new HashMap<User, HttpSession>();

    //Normal properties.
    private Long id;
    private String username;
    //Etc.. Of course with public getters+setters.

    @Override
    public boolean equals(Object other) {
        return (other instanceof User) && (id != null) ? id.equals(((User) other).id) : (other == this);
    }

    @Override
    public int hashCode() {
        return (id != null) ? (this.getClass().hashCode() + id.hashCode()) : super.hashCode();
    }

    @Override
    public void valueBound(HttpSessionBindingEvent event) {
        HttpSession session = logins.remove(this);
        if (session != null) {
            session.invalidate();
        }
        logins.put(this, event.getSession());
    }

    @Override
    public void valueUnbound(HttpSessionBindingEvent event) {
        logins.remove(this);
    }

}

Lorsque vous vous connectez la User comme suit:

User user = userDAO.find(username, password);
if (user != null) {
    request.getSession.setAttribute("user", user);
} else {
    //Show error.
}

alors qu'il invoquera le valueBound() qui permettra d'éliminer tout utilisateur connecté à partir de la logins carte et d'annuler la session.

Lorsque vous vous déconnectez le User comme suit:

request.getSession().removeAttribute("user");

ou lorsque la session est expirée, puis le valueUnbound() sera appelé qui supprime l'utilisateur du logins carte.

Prendre un champ supplémentaire dans le tableau avec le nom de la colonne dire "IsLoggedIn" comme champ de bits et de le définir à vrai jusqu'à ce que l'utilisateur est connecté. Dès que l'utilisateur se déconnecte définie sur false.
Ce besoin d'être fait pour la session d'expiration du temps aussi.
Dès que la session expire, ce champ doit être défini sur false automatiquement à l'aide de déclencheurs ou thru SP appel

bonne solution est toujours la bienvenue

Je voudrais simplement suggérer à l'aide d'un cadre de sécurité pour gérer tous ces détails pour vous. Printemps De Sécuritépar exemple, est assez facile à intégrer dans un projet existant, peut être adapté très fortement si besoin est - et le plus important, il a un support intégré pour la détection et le contrôle de connexions simultanées.

Ne pas réinventer la roue quand il n'est pas nécessaire, sinon vous allez passer un bon peu de temps pour créer un cahoteuse de la roue.

Vous pouvez stocker une sorte de session-id de l'utilisateur lors de la connexion. Lorsque l'utilisateur se déconnecte ou que la session expire, vous supprimez les données de nouveau.

Lorsqu'un utilisateur essaie de se connecter, et vous avez déjà un identifiant la session stockées pour cet utilisateur, permettent à l'utilisateur de confirmer que, et puis invalider l'ancienne session.

Un utilisateur voudra certainement se connecter à nouveau immédiatement si le navigateur s'est écrasé ou quelque chose comme ça, donc, permettant à l'utilisateur d'attendre la session expire pourrait être gênant.

Cela fait-il sens pour votre application?

Cela peut être facilement appliqué si vous avez de la session. Pour chaque navigateur de connexion, vous devez créer une session d'enregistrement en session DB. L'ID de session peut être utilisé comme cookie d'authentification. La session DB a aussi un index avec le nom d'utilisateur. Lors de la connexion, vous pouvez interroger la base de données pour vérifier combien de séances sont là. Nous permet en fait d'une session pour chaque type. Par exemple, l'utilisateur peut avoir une connexion de téléphone mobile et un autre à partir du navigateur. Mais il ne peut pas avoir 2 sessions de navigateur.

Pour résoudre le problème que vous avez mentionné. Vous avez 2 options,

1. Ont un très court délai d'expiration de session (5 minutes) et de prolonger la session à chaque utilisation. De cette façon, l'utilisateur sera automatiquement déconnecté si vous la laissez sans se déconnecter.

2. La bosse de l'autre session. La nouvelle session des bosses de l'ancienne session. La cognée la session reste en DB avec un drapeau spécial pour 24 heures. Nous affichons un message pour dire à l'utilisateur l'autre session est d'être frappé et affiche l'heure et la propriété intellectuelle. De cette façon, l'utilisateur doit être averti si leur compte est compromise.