如何关闭 shiro 会话

Question

硬编码尝试使用 shiro 注销时遇到错误。 用户登录和注销不是通过 Web 登录/注销 url，而是通过后端链接。

登录后就可以了。

Subject currentUser = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(request.getParameter("username"), request.getParameter("password"));
        token.setRememberMe(true);
        try {
            currentUser.login(token);
        } catch (AuthenticationException e) {
            e.printStackTrace();
        }

但是当我尝试注销时，出现错误：

public void userLogout(String sessionId){
    SecurityManager securityManager = SecurityUtils.getSecurityManager();
    Subject.Builder builder = new Subject.Builder(securityManager);
    builder.sessionId(sessionId);
    Subject subject = builder.buildSubject();
    if (null != subject) {
        try {
            subject.logout();
        } catch (SessionException e) {
            // TODO: handle exception
        }
    }
}

但遇到错误 [org.apache.shiro.session.UnknownSessionException: There is no session with id ，那么如何手动关闭 shiro 会话？

Answer 1

您不应该尝试重新创建会话然后对其进行操作，您应该使用用户登录的线程通过安全管理器获取会话，如下所示：

SecurityUtils.getSubject().logout();

如果你想从不同的线程调用注销，你可以使用 SessionDAO 接口，但你需要做额外的配置让 shiro 使用 SessionDAO，如下所述：

http://shiro.apache.org/session-management.html#SessionManagement-SessionStorage

正确配置后，您可以执行以下操作：

    DefaultSecurityManager securityManager = (DefaultSecurityManager) SecurityUtils.getSecurityManager();
    DefaultSessionManager sessionManager = (DefaultSessionManager) securityManager.getSessionManager();
    Collection<Session> activeSessions = sessionManager.getSessionDAO().getActiveSessions();
    for (Session session: activeSessions){
        if (sessionId.equals(session.getId()){
            session.stop();
        }
    }