春季安全性：注销后，如果我使用maxSessionsPreventsLogin（），登录将不再起作用

Question

我正在使用Spring Security执行登录和注销。

每次执行登录和注销操作似乎都很好。

如果我添加maxSessionsPreventsLogin()则在第一次尝试时该登录有效； 注销后，我无法登录了。 调用方法failureUrl() ，并将用户重定向到/ login？error

这是我的配置方法：

 @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {

       httpSecurity.formLogin()
            .loginPage("/login") 
            .usernameParameter("userId") 
            .passwordParameter("password");

       httpSecurity.formLogin()
            .defaultSuccessUrl("/")
            .failureUrl("/login?error") 
            .and()
            .sessionManagement()
            .maximumSessions(1)
            .maxSessionsPreventsLogin(true);          

       httpSecurity.logout()                
            .logoutSuccessUrl("/login?logout");     

      httpSecurity.exceptionHandling()
            .accessDeniedPage("/login?accessDenied");  

       httpSecurity.authorizeRequests()
            .antMatchers("/").permitAll() 
            .antMatchers("/**/add").access("hasRole('ADMIN')")    
            .antMatchers("/**/market/**").access("hasRole('USER')");            
    }      

启用了csrf系统，并相应于我提出的Spring Security需求

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>

在登录表单和注销表单中（我在其中执行“ / logout ”的POST请求）

有谁能够帮助我？ 谢谢

Answer 1

您还可以尝试在注销时使会话无效

.logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/")
                .invalidateHttpSession(true)
                .clearAuthentication(true)
                .permitAll();