回答編集履歴

追記

2020/06/17 14:16

投稿

rubytomato

スコア1752

test CHANGED Viewed

@@ -387,3 +387,181 @@
 ![イメージ説明](2b191801f3e0c206e4b7ebf96e1db8d4.gif)
+**追記**
+Spring Frameworkのプロジェクトの中で特に理解するのが難しいのがSpring Securityです。
+私もわからないことだらけなので詳しく説明できない部分もありますがご了承ください。
+> 原因はsuperクラスのequalsとhashCodeメソッドを使用できていなかったことでしょうか？
+> もしそうであるならば、
+lombokの`@Data`アノテーションを付与するとアクセサメソッドが追加され、さらに`hashCode`、`equals`、`toString`メソッドがオーバーライドされます。
+この`hashCode`、`equals`メソッドが不適切なコードでオーバーライドされるために期待する動作にならなかったという理解です。
+> 元々、@EqualsAndHashCode(callSuper = true)と書いていたので、
+> super classのequalsとhashCodeメソッドを利用していると思っていたのですが、
+> 私の理解が違うのでしょうか。
+`@EqualsAndHashCode(callSuper = true)`も`equals`、`toString`メソッドがオーバーライドされますが、スーパークラスのメソッドを利用する（呼ぶ）という動きではないようです。
+> sessionRegistry(sessionRegistry())がないと、
+> ログアウト後もセッションが残り続け、再ログインができなくなると教えて頂きましたが、
+> ここが良く分かりませんでした。
+挙動を確認するのが一番だと思いますので、ソースコードを以下のように修正して試してみてください。
+セキュリティコンフィグレーションのセッション制御の部分と追加したメソッドをコメントアウトします。
+```java
+.sessionManagement()
+    .maximumSessions(1)
+        .maxSessionsPreventsLogin(true)
+        // .sessionRegistry(sessionRegistry())
+```
+```java
+/*
+	// Work around https://jira.spring.io/browse/SEC-2855
+	@Bean
+	public SessionRegistry sessionRegistry() {
+		SessionRegistry sessionRegistry = new SessionRegistryImpl();
+		return sessionRegistry;
+	}
+	// Register HttpSessionEventPublisher
+	@Bean
+	public static ServletListenerRegistrationBean httpSessionEventPublisher() {
+		return new ServletListenerRegistrationBean(new HttpSessionEventPublisher());
+	}
+*/
+```
+修正が終わったらアプリケーションを起動し、ログイン → ログアウト → ログインを行ってみてください。
+2度目のログインができないと思います。（ブラウザを立ち上げなおしてもログインできません）
+これはサーバー側でセッションが有効なままだということだと思います。
+この挙動を回避するために上記でコメントアウトした部分が必要になります。
+> 紹介して頂いたページを参照して、sessionRegistryがBeanとして公開されないので、
+> 上記のコーディングをしているのはなんとなく理解できたのですが、
+> sessionRegistryを公開しないとログアウト時にセッションを破棄出来ないのでしょうか。
+> springは特別な実装をしなくても、ログアウト時にセッションを破棄する仕様だと思うのですが、
+> 多重ログインを禁止しているとこの仕様が無効になってしまうのでしょうか。
+このあたりの挙動は私自身もよくわかりません。
+ちなみにログアウト時にセッションを破棄する処理はセキュリティコンフィグレーションの以下の部分で行いますが、
+この部分だけあっても上記の2度目のログインはできません。
+```java
+.logout()
+	.logoutSuccessUrl("/index")
+	.deleteCookies("JSESSIONID")
+	.invalidateHttpSession(true)
+```
+> rubytomato様のgithubにあるセキュリティコンフィグレーションの最後に、
+> httpSessionEventPublisher()メソッドを定義していると思いますが、
+> これは具体的に何をする処理なのでしょうか。
+こちらもよくわかりません。
+コード自体は[Spring Security logout and Maximum sessions](https://stackoverflow.com/questions/41429778/spring-security-logout-and-maximum-sessions)を参考しました。
+`sessionRegistry()`と`httpSessionEventPublisher()`の両方で機能するらしく、どちらか欠けても期待する動作にはなりません。
+私が答えられるのは以上になりますが、おそらくこれでは納得できない部分もあると思います。
+その場合は改めて質問を立ててください。より詳しい回答者からもっとよい回答が得られると思います。
+一番いいのはstackoverflow(英語版の方)で質問することです。もしかするとSpring Securityの開発者の方から回答が貰えるかもしれません。