spring boot RESTful应用中，如何防止已登录用户再次登录？

Question

我使用 springboot 创建了一个简单的宁静应用程序。 它只有两个api，登录和注册。 用户登录后，它返回一个 jwt。 这是我的配置

protected void configure(HttpSecurity http) throws Exception {
        http.cors().and().csrf().disable()
                .exceptionHandling()
                    .authenticationEntryPoint(unauthorizedHandler)
                    .and()
                .sessionManagement()
                    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                    .and()
                .authorizeRequests()
                    .antMatchers(HttpMethod.GET, "/api/**").permitAll()
                    .antMatchers(HttpMethod.POST, "/api/auth/**").permitAll()
                    .antMatchers(HttpMethod.GET, "/api/users/checkUsernameAvailability", "/api/users/checkEmailAvailability").permitAll()
                .anyRequest().authenticated();

        http.addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
    }

问题是，我注意到经过身份验证的用户可以再次调用 /login api，并返回一个新的 jwt 令牌。

有没有办法只为未经身份验证的用户配置一些 api？ 像.antMatchers(HttpMethod.POST, "/api/auth/**").unauthenticatedOnly()

如果没有配置，我想到的解决方法是向用户表添加一个is_authenticated列，并且只对is_authentiacted = false用户进行身份验证。 这是一个好方法吗？

Answer 1

如果要在服务器端验证 jwt 令牌的出现，我认为必须将令牌保存在 Redis 等存储中，并通过过滤器进行检查（在 Spring Security 中设置）。

如果您想通过 Spring 安全性本身来控制它（无需额外工作），则可能的简单解决方案是使用 Spring 会话。

Spring Session 与 HttpSession 类似，但由 Redis、Mongo 等支持，因此您可以使用 Spring Security 中提供的会话并发策略来确保只有一个用户身份验证有效。 您必须在后端切换到有状态。

就个人而言，我在几个项目中使用了 Spring session（保护 RESTful API），我认为它很好。 下面是一个使用 Spring session（Reactive stack）的例子（但是我还没有配置 session 控制规则）。 这是一个微服务示例（Servlet 堆栈） 。