spring bootで同一ユーザの多重ログインを禁止したい

Question

前提

Javaの学習のため、Spring Bootを使用してWebアプリケーションを作成しています。
同一ユーザの多重ログインを禁止したく、webで色々と調べたのですが、上手く出来ず困っています。
※2つのブラウザから同一ユーザ名とパスワードでログイン出来てしまう状態。

環境

Java 8
Spring Boot 2.3.0
JPA
H2 Database
Thymeleaf
BootStrap 4.5.0

試したこと

まず、WebSecurityConfigurerAdapterを継承したクラスで、
以下のように最大セッション数を1にしました。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    (省略)
	@Override
	protected void configure(HttpSecurity http) throws Exception {
        (省略)
		http.sessionManagement().maximumSessions(1);
        (省略)
}

その上でセッション作成を検知するために、
AbstractSecurityWebApplicationInitializerを継承したクラスで、
enableHttpSessionEventPublisher()がtrueを返すようにオーバーライドしました。

package com.example;

import org.springframework.core.annotation.Order;
import org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer;

@Order(1)
public class SecurityWebApplicationInitializer extends AbstractSecurityWebApplicationInitializer {
	
	public SecurityWebApplicationInitializer() {
		super(SecurityConfig.class);
	}
	
	protected boolean enableHttpSessionEventPublisher() {
		return true;
	}

}

問題

上記のとおり実装しましたが、
2つのブラウザから同一ユーザ名とパスワードでログイン出来てしまう状態です。
そこで、デバッグしたり、カバレッジを確認したりしたところ、
新規に作成したSecurityWebApplicationInitializerクラスが呼ばれていないことが分かりました。
（正確に書くと実装したコンストラクタやメソッドが呼び出されていない状態）

サーブレット初期化時にAbstractSecurityWebApplicationInitializerを継承したクラスがあれば自動でフックされるという記事があったので、
上記の実装で呼び出されると思っていましたが、そうでもないようです。

何か気づくことがあればアドバイスをお願い致します。

追記

問題のプロジェクトとは別に、
多重ログイン禁止処理を確かめるためのプロジェクトを新規に作成して試してみました。

すると、WebSecurityConfigurerAdapterを継承したクラスに、
上記と同様、最大セッション数を1とするコードを書くと2重ログインを禁止出来ました。

そこから少しずつ、問題のプロジェクトに近づけていくと、
ログインに使用しているUSERテーブルのNAMEカラムを外部キーにもつMUTTERテーブルを作成し、
USERテーブルと関連性をもたせたタイミングで2重ログインが禁止できなくなりました。

ここからは予想なのですが、この記事によると、
多重ログインチェックを機能させるためには、UserDetailsを実装したクラスの中で、
equalsとhashCodeメソッドのオーバーライドを適切に行うことが必要らしく、
それが出来ていないのではないかと考えています。

その観点から考えたのですが、結局何が問題か分からず、アドバイスをお願い致します。
なお、DB操作にはJPAを利用しています。

[Userエンティティクラス]

package sample.spring.domain;

import java.io.Serializable;
import java.util.List;

import javax.persistence.CascadeType;
import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.FetchType;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import javax.persistence.OneToMany;
import javax.persistence.Table;

import com.fasterxml.jackson.annotation.JsonIgnore;

import lombok.AllArgsConstructor;
import lombok.Data;
import lombok.NoArgsConstructor;
import lombok.ToString;

@Entity
@Table(name = "USER")
@Data
@NoArgsConstructor
@AllArgsConstructor
@ToString(exclude = "mutters")
public class User implements Serializable {
	private static final long serialVersionUID = 1L;

	@Id
	@GeneratedValue(strategy = GenerationType.IDENTITY)
	@Column(name = "USER_ID")
	private Integer Id;
	
	@Column(unique = true, nullable = false, name = "NAME", length = 64)
	private String name;

	@Column(nullable = false, name = "PASS", length = 80)
	@JsonIgnore
	private String pass;

	//　以下をコメントアウトすると2重ログインが禁止出来る
	@OneToMany(cascade = CascadeType.ALL, fetch = FetchType.LAZY, mappedBy = "user")
	private List<Mutter> mutters;

}

[UserDetailsを実装したUserクラスを継承したクラス]

package sample.spring.service;

import java.util.Collection;

import org.springframework.security.core.GrantedAuthority;

import sample.spring.domain.User;

import lombok.Data;
import lombok.EqualsAndHashCode;

@Data
@EqualsAndHashCode(callSuper = true)
public class LoginUserDetails extends org.springframework.security.core.userdetails.User {
	private static final long serialVersionUID = 1L;
	private final User user;

	public LoginUserDetails(User user, Collection<GrantedAuthority> authorities) {
		super(user.getName(), user.getPass(), authorities);
		this.user = user;
	}

	/* lombokを使わずに実装してみた
	 * 
	 * public User getUser() {
	 *		return user;
	 *	}
	 * 
	 * @Override
	 * public int hashCode() {
	 * 	return user.getName().hashCode();
	 * }
	 * 
	 * @Override
	 * public boolean equals(Object rhs) { 
	 * 	if (rhs instanceof User) {
	 * 		return user.getName().equals(((LoginUserDetails) rhs).user.getName()); }
	 * 		return false;
	 * }
	 * 
	 * @Override
	 * public String toString(){ 
	 * 	StringBuilder sb = new StringBuilder();
	 * 	sb.append("Username: ").append(this.user.getName()).append("; ");
	 * 	sb.append("Password: [PROTECTED]; ");
	 * 
	 * 	return sb.toString();
	 * }
	 */

}

その他のクラスはGitHubにソースを配置したので、
必要であればご確認をお願い致します。
ウェブアプリのユーザ名とパスワードはそれぞれuser1とdemoです。

https://github.com/uekiGityuto/test-session-control

補足

上記で省略していた問題のあるプロジェクトで使用しているSecurityConfigの全量です。

package com.example;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

import com.example.service.CustomAuthenticationFailurehandler;
import com.example.service.LoginUserDetailsService;

//アプリ起動時に読み込まれるコンフィグファイル
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
	@Autowired
	LoginUserDetailsService userDetailsService;

	// アクセスフィルター（AuthenticationFilter）のカスタマイズ
	@Override
	public void configure(WebSecurity web) throws Exception {
		web.ignoring().antMatchers("/webjars/**", "/css/**");
	}

	// アクセスフィルター（AuthenticationFilter）のカスタマイズ
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		// ログインページを指定
		// ログインページへのアクセスは全員許可する
		http.formLogin().loginPage("/index").loginProcessingUrl("/authenticate").usernameParameter("name")
				.passwordParameter("pass").defaultSuccessUrl("/main", true)
				// failureHandlerを呼ばない場合は認証エラー時に"/index?error"にリダイレクトする
				.failureHandler(new CustomAuthenticationFailurehandler()).permitAll();

		// ユーザ登録ページへのアクセスは全員許可する。
		// それ以外は認証が必要とする
		// "/management/"以下はROLE_ADMINのユーザのみ認可する
		http.authorizeRequests().antMatchers("/index**").permitAll().antMatchers("/user/registration").permitAll()
				.antMatchers("/user/registerResult").permitAll().antMatchers("/user/gotoTop").permitAll()
				.antMatchers("/management/**").hasRole("ADMIN")// 'ROLE_'はつけない
				.anyRequest().authenticated();

		// ログアウト後に遷移するページを指定
		http.logout().logoutSuccessUrl("/index");

		// 二重ログインを禁止
		http.sessionManagement().maximumSessions(1);
	}

	// パスワードのエンコード方式を指定
	@Bean
	PasswordEncoder passwordEncoder() {
		return new BCryptPasswordEncoder();
	}

	// 認証処理（AuthenticationProvider）のカスタマイズ
	@Autowired
	void configureAuthenticationManager(AuthenticationManagerBuilder auth) throws Exception {
		auth.userDetailsService(userDetailsService)// DaoAuthenticationProviderが使用するUserDetailsServiceを指定
				.passwordEncoder(passwordEncoder());// DaoAuthenticationProviderが使用するPasswordEncoderを指定
	}

}

以上、宜しくお願い致します。

Comments

[rubytomato]

アプリケーションの動作について2点確認させてください。

1点目
> 2つのブラウザから同一ユーザ名とパスワードでログイン出来てしまう状態です。
とのことですが、仮に2つのブラウザをブラウザAとブラウザBとした場合
ブラウザAでログイン → ブラウザBでログイン → ブラウザAでの操作はどうなりますか？問題なく認証が必要なページへ遷移することができていますか？

2点目
> サーブレット初期化時にAbstractSecurityWebApplicationInitializerを継承したクラスがあれば自動でフックされるという記事があった
その情報の出所を教えてください。

[waito]

rubytomato様
ありがとうございます。回答致します。

1点目
>ブラウザAでログイン → ブラウザBでログイン → ブラウザAでの操作はどうなりますか？問題なく認証>が必要なページへ遷移することができていますか？
はい。認証が必要なページに遷移出来ています。
また、ブラウザBも認証が必要なページに遷移できます。

2点目
以下の記事です。ページ内でAbstractSecurityWebApplicationInitializerで検索すると見つかります。
http://myms0623.blog.fc2.com/blog-entry-6.html

上記の記事は古いので公式のリファレンスも確認しました。
サーブレット初期化時に自動でフックされると記載されているわけではありませんが、
呼び出すための特別な処理を実装しているようには見えませんでした。
https://spring.pleiades.io/spring-security/site/docs/5.1.8.BUILD-SNAPSHOT/reference/html/jc.html#hello-web-security-java-configuration

以上、宜しくお願い致します。

[rubytomato]

ご確認ありがとうございます。

> はい。認証が必要なページに遷移出来ています。
> また、ブラウザBも認証が必要なページに遷移できます。

ということですが、この挙動はおかしいように思います。
maximumSessions(1) とした場合の期待する挙動は、

ブラウザAでログイン → ブラウザBでログイン → ブラウザAで操作 → ブラウザAの操作はエラー → ブラウザBで操作 → ブラウザBの操作は成功

つまり上限を超えた場合古いセッションから破棄されていくのがデフォルトの挙動です。
なので、セキュリティコンフィグレーションが正しく反映されていないように思います。

このあたりのことは下記のページが詳しいのでご覧ください。
Spring Security 使い方メモ　セッション管理
https://qiita.com/opengl-8080/items/ad9159910501d1989876

> サーブレット初期化時に自動でフックされると記載されているわけではありませんが、
> 呼び出すための特別な処理を実装しているようには見えませんでした。

Spring BootとSpring Securityを組み合わせる場合は、AbstractSecurityWebApplicationInitializerを利用する必要はないように思います。
なので、一旦SecurityWebApplicationInitializerクラスは無効にして、再度動作確認を行ってみてください。

可能であれば動作確認できるだけのミニマムなプロジェクトを共有してください。そうするともう少し踏み込んで調べることができると思います。

[waito]

rubytomato様
アドバイスありがとうございます！

> Spring BootとSpring Securityを組み合わせる場合は、AbstractSecurityWebApplicationInitializerを> 利用する必要はないように思います。
> なので、一旦SecurityWebApplicationInitializerクラスは無効にして、再度動作確認を行ってみてください。
→変わらず2重ログイン出来てしまう状態です、、、

> 可能であれば動作確認できるだけのミニマムなプロジェクトを共有してください。そうするともう少し踏み込んで調べることができると思います。
→ありがとうございます！
　ミニマムなプロジェクトを作成し試してみました。
　試した結果は質問本文に追記しました。
　作成したミニマムなプロジェクトは以下です。
　https://github.com/uekiGityuto/test-session-control

以上、宜しくお願い致します。

Answer 1

最小構成のプロジェクトの提供ありがとうございました。
GitHubのリポジトリをもとに動作確認した結果を回答致します。

公開して頂いたプロジェクトをフォークして正常動作するようになったプロジェクトをrubytomato
/
test-session-controlで公開していますのでご確認ください。
（※1週間ほどで削除致しますのでご了承ください）

原因

直接の原因はLoginUserDetails.javaのlombokのアノテーションにありました。

@Data
@EqualsAndHashCode(callSuper = true)
public class LoginUserDetails extends org.springframework.security.core.userdetails.User {

	private static final long serialVersionUID = 1L;
	private final User user;

	public LoginUserDetails(User user, Collection<GrantedAuthority> authorities) {
		super(user.getName(), user.getPass(), authorities);
		this.user = user;
	}

}

以下のように2つのアノテーションを除去することで期待する動作となります。

public class LoginUserDetails extends org.springframework.security.core.userdetails.User {

	private static final long serialVersionUID = 1L;
	private final User user;

	public LoginUserDetails(User user, Collection<GrantedAuthority> authorities) {
		super(user.getName(), user.getPass(), authorities);
		this.user = user;
	}

}

こちらのコメントは

多重ログインチェックを機能させるためには、UserDetailsを実装したクラスの中で、
equalsとhashCodeメソッドのオーバーライドを適切に行うことが必要らしく、
それが出来ていないのではないかと考えています。

参考にされた記事の

equalsとhashCodeメソッドのオーバーライドも適切に行う必要があります。このメソッドを適切に実装していないとセッション管理の多重ログインチェックが機能しません。

を読んでのことだと思いますが、その記事では以下のようにUserDetailsインタフェース、CredentialsContainerインタフェースを実装する方法を取っています。このような場合はequalsとhashCodeメソッドのオーバーライドも適切に行う必要があります。

public class SimpleLoginUser implements UserDetails, CredentialsContainer {

  // 省略

}

当該のプロジェクトはorg.springframework.security.core.userdetails.Userを継承しているので不要です。このクラスはSpring Securityが用意しているリファレンスで必要な実装は既に行われています。

public class LoginUserDetails extends org.springframework.security.core.userdetails.User {

  // 省略

}

セキュリティコンフィグレーション

MySpringSecurityConfigのsessionManagement()が下記のようになっていると、一番新しいセッションのみ有効となり、それ以前のセッションは無効になります。

.sessionManagement()
	.maximumSessions(1)
		//.maxSessionsPreventsLogin(true)
		.sessionRegistry(sessionRegistry())

下記のように.maxSessionsPreventsLogin(true)のコメントを有効にすると、有効なセッションがある限り、次のログインそれ自体ができなくなります。

.sessionManagement()
	.maximumSessions(1)
		.maxSessionsPreventsLogin(true)
		.sessionRegistry(sessionRegistry())

.sessionRegistry(sessionRegistry())はSEC-2855: SessionManagementConfigurer does not allow SessionRegistry to receive eventsの回避策です。
このコードがないとログアウト後もセッションが残り続け、再ログインができなくなります。

// Work around https://jira.spring.io/browse/SEC-2855
@Bean
public SessionRegistry sessionRegistry() {
	SessionRegistry sessionRegistry = new SessionRegistryImpl();
	return sessionRegistry;
}

// Register HttpSessionEventPublisher
@Bean
public static ServletListenerRegistrationBean httpSessionEventPublisher() {
	return new ServletListenerRegistrationBean(new HttpSessionEventPublisher());
}

ある条件下で動作する件について

ログインに使用しているUSERテーブルのNAMEカラムを外部キーにもつMUTTERテーブルを作成し、

USERテーブルと関連性をもたせたタイミングで2重ログインが禁止できなくなりました。

こちらについてはよくわかりません。lombokのアノテーションが影響しているのかもしれませんが、改修後ではコメントアウトしなくても正常動作します。

public class User implements Serializable {

	// 省略

	//　以下をコメントアウトすると2重ログインが禁止出来る
	@OneToMany(cascade = CascadeType.ALL, fetch = FetchType.LAZY, mappedBy = "user")
	private List<Mutter> mutters;

}

2次的な問題点

ここからはJPAに関する問題なので読み飛ばしてもかまいません。

上記の修正でログインの多重制御ができたので、以下のようにmuttersにデータを登録して参照できるか確認したところ、データ表示のタイミングでエラーが起きました。

INSERT INTO USER (NAME, PASS) VALUES ('user1', 'ce5f8d0c5790bf82e9b253d362feb51ba02853301ae24149b260bd30acb00f1b2a0d8b18bbff97a9');
INSERT INTO USER (NAME, PASS) VALUES ('user2', 'ce5f8d0c5790bf82e9b253d362feb51ba02853301ae24149b260bd30acb00f1b2a0d8b18bbff97a9');

INSERT INTO MUTTER (TIMESTAMP, TEXT, USER_NAME) VALUES (CURRENT_TIMESTAMP(), 'user1 aaa', 'user1');
INSERT INTO MUTTER (TIMESTAMP, TEXT, USER_NAME) VALUES (CURRENT_TIMESTAMP(), 'user1 bbb', 'user1');
INSERT INTO MUTTER (TIMESTAMP, TEXT, USER_NAME) VALUES (CURRENT_TIMESTAMP(), 'user1 ccc', 'user1');

INSERT INTO MUTTER (TIMESTAMP, TEXT, USER_NAME) VALUES (CURRENT_TIMESTAMP(), 'user2 AAA', 'user2');

この原因はUserクラスとMutterクラスのリレーションシップの張り方にあり、下記のrepositoryでUserを検索しても、それに紐づくMutterは直接参照されるまで検索されません。

public interface UserRepository extends JpaRepository<User, Integer> {
	@Query("SELECT x FROM User x WHERE x.name = :name")
	public Optional<User> findByName(@Param("name") String name);	
}

この問題は下記のようにJPQLでJOIN FETCHを行うようにすることで解決できます。

public interface UserRepository extends JpaRepository<User, Integer> {
	@Query("SELECT x FROM User x LEFT JOIN FETCH x.mutters WHERE x.name = :name")
	Optional<User> findByName(@Param("name") String name);
}

動作確認

参考までにログインの挙動をgifに記録しました。
左側がChorome、右側がFirefoxです。

セキュリティコンフィグレーションが以下の場合

.sessionManagement()
	.maximumSessions(1)
		.sessionRegistry(sessionRegistry())

セキュリティコンフィグレーションが以下の場合

.sessionManagement()
	.maximumSessions(1)
		.maxSessionsPreventsLogin(true)
		.sessionRegistry(sessionRegistry())

追記

Spring Frameworkのプロジェクトの中で特に理解するのが難しいのがSpring Securityです。
私もわからないことだらけなので詳しく説明できない部分もありますがご了承ください。

原因はsuperクラスのequalsとhashCodeメソッドを使用できていなかったことでしょうか？
もしそうであるならば、

lombokの@Dataアノテーションを付与するとアクセサメソッドが追加され、さらにhashCode、equals、toStringメソッドがオーバーライドされます。
このhashCode、equalsメソッドが不適切なコードでオーバーライドされるために期待する動作にならなかったという理解です。

元々、@EqualsAndHashCode(callSuper = true)と書いていたので、
super classのequalsとhashCodeメソッドを利用していると思っていたのですが、
私の理解が違うのでしょうか。

@EqualsAndHashCode(callSuper = true)もequals、toStringメソッドがオーバーライドされますが、スーパークラスのメソッドを利用する（呼ぶ）という動きではないようです。

sessionRegistry(sessionRegistry())がないと、
ログアウト後もセッションが残り続け、再ログインができなくなると教えて頂きましたが、
ここが良く分かりませんでした。

挙動を確認するのが一番だと思いますので、ソースコードを以下のように修正して試してみてください。
セキュリティコンフィグレーションのセッション制御の部分と追加したメソッドをコメントアウトします。

.sessionManagement()
    .maximumSessions(1)
        .maxSessionsPreventsLogin(true)
        // .sessionRegistry(sessionRegistry())

/*
	// Work around https://jira.spring.io/browse/SEC-2855
	@Bean
	public SessionRegistry sessionRegistry() {
		SessionRegistry sessionRegistry = new SessionRegistryImpl();
		return sessionRegistry;
	}

	// Register HttpSessionEventPublisher
	@Bean
	public static ServletListenerRegistrationBean httpSessionEventPublisher() {
		return new ServletListenerRegistrationBean(new HttpSessionEventPublisher());
	}
*/

修正が終わったらアプリケーションを起動し、ログイン → ログアウト → ログインを行ってみてください。
2度目のログインができないと思います。（ブラウザを立ち上げなおしてもログインできません）
これはサーバー側でセッションが有効なままだということだと思います。

この挙動を回避するために上記でコメントアウトした部分が必要になります。

紹介して頂いたページを参照して、sessionRegistryがBeanとして公開されないので、
上記のコーディングをしているのはなんとなく理解できたのですが、
sessionRegistryを公開しないとログアウト時にセッションを破棄出来ないのでしょうか。

springは特別な実装をしなくても、ログアウト時にセッションを破棄する仕様だと思うのですが、
多重ログインを禁止しているとこの仕様が無効になってしまうのでしょうか。

このあたりの挙動は私自身もよくわかりません。
ちなみにログアウト時にセッションを破棄する処理はセキュリティコンフィグレーションの以下の部分で行いますが、
この部分だけあっても上記の2度目のログインはできません。

.logout()
	.logoutSuccessUrl("/index")
	.deleteCookies("JSESSIONID")
	.invalidateHttpSession(true)

rubytomato様のgithubにあるセキュリティコンフィグレーションの最後に、
httpSessionEventPublisher()メソッドを定義していると思いますが、
これは具体的に何をする処理なのでしょうか。

こちらもよくわかりません。
コード自体はSpring Security logout and Maximum sessionsを参考しました。
sessionRegistry()とhttpSessionEventPublisher()の両方で機能するらしく、どちらか欠けても期待する動作にはなりません。

私が答えられるのは以上になりますが、おそらくこれでは納得できない部分もあると思います。
その場合は改めて質問を立ててください。より詳しい回答者からもっとよい回答が得られると思います。
一番いいのはstackoverflow(英語版の方)で質問することです。もしかするとSpring Securityの開発者の方から回答が貰えるかもしれません。

Comments

[waito]

非常に丁寧で分かりやすい回答ありがとうございます！
元々のプロジェクトでもLoginUserDetails.javaのlombokのアノテーションを削ったら多重ログイン制御できました！

以下、頂いた回答について追加で質問させて下さい。

・
原因はsuperクラスのequalsとhashCodeメソッドを使用できていなかったことでしょうか？
もしそうであるならば、
元々、@EqualsAndHashCode(callSuper = true)と書いていたので、
super classのequalsとhashCodeメソッドを利用していると思っていたのですが、
私の理解が違うのでしょうか。

・
セキュリティコンフィグレーションのアドバイスもして頂き、大変ありがとうございます。
セッションは難しいですね。

sessionRegistry(sessionRegistry())がないと、
ログアウト後もセッションが残り続け、再ログインができなくなると教えて頂きましたが、
ここが良く分かりませんでした。

紹介して頂いたページを参照して、sessionRegistryがBeanとして公開されないので、
上記のコーディングをしているのはなんとなく理解できたのですが、
sessionRegistryを公開しないとログアウト時にセッションを破棄出来ないのでしょうか。

springは特別な実装をしなくても、ログアウト時にセッションを破棄する仕様だと思うのですが、
多重ログインを禁止しているとこの仕様が無効になってしまうのでしょうか。

・
rubytomato様のgithubにあるセキュリティコンフィグレーションの最後に、
httpSessionEventPublisher()メソッドを定義していると思いますが、
これは具体的に何をする処理なのでしょうか。

公式のリファレンス(https://spring.pleiades.io/spring-security/site/docs/5.4.0-M1/api/)に、
期限切れのセッションをクリーンアップするために実装すると書いてあったので、
maximumSessionsの制約で期限切れになったセッションは破棄されず、
確実に破棄するためにこのメソッドを定義しているとも思ったのですが、
HttpSessionEventPublisherはセッションの生成時・破棄をフックして稼働する処理なので、
それも違うと思い。（セッション破棄をトリガーにしたセッション破棄処理は無意味なのでありえない）

[公式リファレンスから引用]
SessionManagementConfigurer.maximumSessions(int) を使用する場合、期限切れのセッションが確実にクリーンアップされるように、アプリケーションの HttpSessionEventPublisher を構成することを忘れないでください。

・
JPAについてもありがとうございます。
自分でも試してみます。

長々と質問してしまい申し訳ございません。
以上、宜しくお願い致します。

[rubytomato]

追記しましたのでご確認ください。

[waito]

夜遅くにありがとうございます。
大変勉強になりました。
細かな疑問点は経験を積みながら理解していこうと思います。

一点だけ、気になったのでコメントします。
sessionRegistry(sessionRegistry())の挙動確認のところで、
httpSessionEventPublisher()があれば、sessionRegistry()がなくとも、
「ログイン→ログアウト→ログイン」出来ました。
ですので、sessionRegistry()はいらないのかもしれません。

以上です。色々とありがとうございました。