Spring Securityで同時ログイン数を制限する方法

Question

###前提・実現したいこと
お世話になります。

Spring Securityにおいて、以下の条件で同時ログイン数を制限したいと考えております。
・サーブレット全体で同時ログイン数を100件までに制限したい
・同一IDによる同時ログインは制限しない

###発生している問題・エラーメッセージ
session-managementのmaximum-sessionsの設定で
同一IDによる同時ログイン数が制限できることは分かったのですが、
サーブレット全体でのログイン数に上限を設ける方法が分かりません。

###試していること
sessionRegistryを使用して制御できないか調査中

何か良い管理方法がありましたら、ご教示いただけると幸いです。
どうぞよろしくお願いいたします。

Answer 1

SpringSecurityの標準にはアプリケーション全体でログインが有効なカウントやセッションが有効な数を管理していませんので、別途ログインイベント、ログアウトイベント、セッション破棄イベントを拾って、その数をアプリケーションコンテキスト属性で管理して、一定数を超えたら強制的にログインを拒否する仕組みを作るくらいではないかと思いますが、セッションの維持時間が長いと、ログインできなくなる時間が増えるかも知れませんので、アプリケーション全体でログイン数を制御するのは好ましくないように思えます。

Answer 2

spring-session-jdbcを使えばセッションをテーブルに保存してくれるので、ログイン中の人数が大体わかるかもしれません。

ただ、仕様的にログアウトの監視を厳重にしないと、ログイン中の人数が溢れる可能性が高いかと。ログイン後作業して、ブラウザを直接終了した場合の対策が面倒そうです。