Java禁止用户重复登录方法

为什么需要防止多处登录？

1. 安全风险：账号被多人同时使用可能引发数据泄露或恶意操作。
2. 数据一致性：避免因多设备操作导致业务逻辑冲突（如重复支付）。
3. 资源管理：减少服务器无效会话占用,提升性能。

核心实现方案

方案1：Token/Session 比对法（推荐）

原理：用户登录时生成唯一Token（或SessionID）并存储，后续请求校验Token有效性，新登录会强制旧Token失效。
实现步骤：

1. 用户登录成功时，生成唯一Token（如UUID）并关联用户ID。
2. 将Token存入Redis（或数据库）,并设置有效期。
3. 每次请求通过拦截器校验Token合法性。
4. 新登录时,删除旧Token使之前登录的会话失效。

Java代码示例：

// 1. 登录成功后生成Token并存储
public String login(String username, String password) {
    User user = userService.authenticate(username, password); // 验证账号
    String token = UUID.randomUUID().toString();
    // 删除旧Token（确保唯一登录）
    redisTemplate.delete("user_token:" + user.getId());
    // 新Token存入Redis，有效期30分钟
    redisTemplate.opsForValue().set(
        "user_token:" + user.getId(), 
        token, 
        30, TimeUnit.MINUTES
    );
    return token; // 返回给客户端（前端存入Cookie或LocalStorage）
}
// 2. 拦截器校验Token有效性
public class AuthInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        String token = request.getHeader("Authorization");
        String userId = getUserIdFromToken(token); // 从Token解析用户ID（需实现）
        String validToken = redisTemplate.opsForValue().get("user_token:" + userId);
        if (token.equals(validToken)) {
            return true; // 放行请求
        } else {
            response.setStatus(401); // Token无效或已被顶替
            return false;
        }
    }
}

方案2：Session 监听强制下线

原理：利用Servlet的HttpSessionListener监听会话，通过SessionID控制单一登录。
实现步骤：

1. 用户登录时将SessionID存入数据库。
2. 新登录时,从数据库找到旧SessionID并手动销毁对应会话。
3. 通过监听器实时处理Session过期。

关键代码：

// 1. 登录时更新Session记录
public void login(HttpServletRequest request, String username) {
    HttpSession session = request.getSession();
    session.setAttribute("user", username);
    // 存储SessionID与用户的映射
    userSessionDao.saveSession(username, session.getId());
}
// 2. 新登录时强制旧会话失效
public void forceLogout(String username) {
    String oldSessionId = userSessionDao.getSessionId(username);
    if (oldSessionId != null) {
        // 从全局Session管理中获取旧Session并销毁
        HttpSession oldSession = sessionRegistry.getSession(oldSessionId);
        if (oldSession != null) {
            oldSession.invalidate(); // 触发sessionDestroyed事件
        }
    }
}

关键注意事项

1. 并发问题
   • 使用Redis的原子操作（如SET key value NX EX）或分布式锁（Redisson）避免Token覆盖冲突。
2. 性能优化

   优先选择Redis等内存数据库存储Token，响应速度比数据库快10倍以上（参考Redis官方基准测试）。

   

3. 用户体验

   被强制下线的用户应收到友好提示（如：“您的账号在其他设备登录”）。

4. 安全性增强

   Token需HTTPS传输防止截获，建议绑定IP/设备指纹（如前端传入设备ID）。

5. 扩展场景

   允许多设备登录（如网页+APP）：改用Token白名单,存储多个有效Token并独立管理。

方案对比

防止Java应用中的多处登录，核心在于唯一会话标识的生成与校验，推荐使用Token比对法（Redis实现），兼顾高性能与分布式支持,关键点包括：

• 通过拦截器统一验证Token有效性。
• 新登录时使旧Token/Session立即失效。
• 结合原子操作和分布式锁解决并发问题。

引用说明：

1. Redis原子操作参考：Redis SET命令文档
2. Servlet Session管理：Oracle Java EE 8 Session规范
3. 分布式锁实现：Redisson官方文档

通过上述方案，可有效提升系统安全性，平衡性能与用户体验，实际开发中需根据业务场景调整细节（如Token刷新机制）。