spring-securityのHttpSession生成・破棄イベントハンドラの作成

概要

spring-securityでHttpSession生成・破棄イベントのハンドラを作成する方法。

spring-securityにはorg.springframework.security.web.sessionパッケージに生成・破棄イベントに対応するHttpSessionCreatedEvent・HttpSessionDestroyedEventが存在する。これらはspringのApplicationEventを拡張したイベントオブジェクトで、javax.servlet.http.HttpSessionListener実装のHttpSessionEventPublisherをbeanとして登録すると両イベントがpublishされる。あとは、リスナー（のbean）を登録するとそのイベントハンドラが適宜呼び出される。

ソースコード

pom.xml

pom.xml

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.2.0.RELEASE</version>
        <relativePath /> <!-- lookup parent from repository -->
    </parent>

    <properties>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <maven.compiler.source>13</maven.compiler.source>
        <maven.compiler.target>13</maven.compiler.target>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-devtools</artifactId>
            <optional>true</optional>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>

application.yml

application.yml

server:
  servlet:
    session:
      timeout: 60

spring:
  security:
    user:
      name: kagami
      password: hoge

セッションタイムアウト値60秒をserver.servlet.session.timeoutで指定している。本当はもっと短い値を設定したいのだが60（秒）より小さい値は設定できない。

id,passwordは検証をやりやすくするために適当な値を設定している。

java

起動用クラス。ついでにHttpSessionEventPublisherのbeanも登録している。

package springsecuritysample.sample;

import org.springframework.boot.WebApplicationType;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.builder.SpringApplicationBuilder;
import org.springframework.context.annotation.Bean;
import org.springframework.security.web.session.HttpSessionEventPublisher;

@SpringBootApplication
public class App {
    @Bean
    public HttpSessionEventPublisher httpSessionEventPublisher() {
        return new HttpSessionEventPublisher();
    }

    public static void main(String[] args) {
        new SpringApplicationBuilder(App.class).web(WebApplicationType.SERVLET).run(args);
    }
}

以下はセッション生成・破棄のイベントハンドラ。

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.context.ApplicationListener;
import org.springframework.security.web.session.HttpSessionCreatedEvent;
import org.springframework.stereotype.Component;

@Component
public class HttpSessionCreatedEventHandler implements ApplicationListener<HttpSessionCreatedEvent> {
    Logger logger = LoggerFactory.getLogger(HttpSessionCreatedEventHandler.class);

    @Override
    public void onApplicationEvent(HttpSessionCreatedEvent event) {
        logger.info("# HttpSessionCreatedEvent:" + event);
    }
}

実行時の様子。

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.context.ApplicationListener;
import org.springframework.security.web.session.HttpSessionDestroyedEvent;
import org.springframework.stereotype.Component;

@Component
public class HttpSessionDestroyedEventHandler implements ApplicationListener<HttpSessionDestroyedEvent> {
    Logger logger = LoggerFactory.getLogger(HttpSessionDestroyedEventHandler.class);

    @Override
    public void onApplicationEvent(HttpSessionDestroyedEvent event) {
        logger.info("# HttpSessionDestroyedEvent:" + event);
    }
}

2019-10-29 14:48:21.447  INFO 20776 --- [nio-8080-exec-1] s.sample.HttpSessionCreatedEventHandler  : # HttpSessionCreatedEvent:org.springframework.security.web.session.HttpSessionCreatedEvent[source=org.apache.catalina.session.StandardSessionFacade@55f1646a]
2019-10-29 14:50:13.643  INFO 20776 --- [alina-utility-1] s.s.HttpSessionDestroyedEventHandler     : # HttpSessionDestroyedEvent:org.springframework.security.web.session.HttpSessionDestroyedEvent[source=org.apache.catalina.session.StandardSessionFacade@55f1646a]