在Java Web应用中防止用户重复登录，主要是通过维护用户的会话状态来实现。
以下是几种常见的实现方式：
1. 使用Session
最直接的方式是利用HTTP Session。
当用户登录成功后，服务器为其创建一个唯一的Session，并将用户信息保存在Session中。
在后续请求中，通过验证Session中的用户信息来判断用户是否已登录以及是否为重复登录。
1.1、实现步骤：
用户登录成功后，将用户信息存储到Session中。
在需要验证用户身份的页面或操作前，检查当前Session中是否存在用户信息。如果存在，则认为用户已登录；如果不存在或信息不符，则认为未登录或尝试重复登录。
对于重复登录的情况，可以根据业务需求选择注销之前的Session或拒绝新的登录请求。
1.2、示例：
// 假设UserService是一个服务类，用于处理用户登录逻辑public class UserService { public User login(HttpServletRequest request, String username, String password) { // 真实环境中，这里应该是从数据库验证用户名和密码 User user = findUserByUsernameAndPassword(username, password); if (user != null) { // 检查用户是否已经登录 HttpSession session = request.getSession(false); if (session != null) { // 如果session不为空，说明用户已登录，可以根据业务需求处理，这里简单示例为踢出前一个登录 session.invalidate(); // 使之前的session失效 } // 创建新的session，并保存用户信息 HttpSession newUserSession = request.getSession(true); newUserSession.setAttribute("currentUser", user); return user; } else { return null; // 登录失败 } }}1.3、优缺点：
优点：实现简单，直接利用Web容器提供的功能。
缺点：如果用户在一个浏览器中登录后，又在另一个浏览器或设备上登录，由于Session是基于浏览器的，所以无法识别为重复登录。
2. 使用数据库记录登录状态
在数据库中为用户增加一个登录状态字段，每次用户登录时更新该字段，并在用户登出时重置。
每次用户尝试登录时，先查询数据库中的登录状态。
2.1、实现步骤：
登录时，更新用户表中的登录状态字段，并记录Session ID或Token。
在每个需要验证的请求中，检查数据库中该用户的登录状态和Session ID或Token的一致性。
用户登出时，不仅销毁Session，还要更新数据库中的登录状态。
2.2、示例：
@Servicepublic class UserService { @Autowired private UserRepository userRepository; public User login(HttpServletRequest request, String username, String password) { User user = userRepository.findByUsername(username); if (user != null && user.getPassword().equals(password)) { // 检查用户是否已登录 if (user.getLoginStatus()) { // 根据业务需求处理重复登录，这里假设直接覆盖之前的登录 logout(request, user); } // 更新数据库中的登录状态和Session ID String sessionId = request.getSession().getId(); user.setSessionId(sessionId); user.setLoginStatus(true); userRepository.save(user); return user; } return null; } public void logout(HttpServletRequest request, User user) { // 更新数据库中的登录状态 user.setLoginStatus(false); user.setSessionId(null); userRepository.save(user); // 清除Session request.getSession().invalidate(); }}2.3、优缺点：
优点：可以跨浏览器和设备识别重复登录。
缺点：增加了数据库的访问频率，可能影响性能；实现相对复杂。
3. 使用Token机制
基于Token的身份验证也是防止重复登录的有效方法。
用户登录成功后，服务器生成一个唯一Token并返回给客户端，客户端在后续请求中携带此Token。
服务器验证Token的有效性和唯一性来判断用户状态。
3.1、实现步骤：
登录成功后生成Token，存入数据库或缓存，并将Token发送给客户端。
客户端在每次请求时携带Token，服务器验证Token的有效性（包括是否过期、是否已被其他会话使用）。
当检测到重复登录时，可以选择使旧Token失效或直接拒绝新的登录请求。
3.2、示例：
使用Token机制防止同一用户同时登录，可以通过JWT（JSON Web Tokens）来实现。
3.2.1、添加JWT依赖
<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-api</artifactId> <version>0.11.2</version></dependency><dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-impl</artifactId> <version>0.11.2</version></dependency><dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-jackson</artifactId> <!-- 或jjwt-gson如果你使用Gson --> <version>0.11.2</version></dependency>3.2.2、创建JWT工具类
创建一个JWT工具类来生成和验证Token
import io.jsonwebtoken.Claims;import io.jsonwebtoken.Jwts;import io.jsonwebtoken.SignatureAlgorithm;import java.util.Date;import java.util.HashMap;import java.util.Map;public class JwtUtils { private static final String SECRET_KEY = "SecretKey"; // 应替换密钥 private static final long EXPIRATION_TIME = 86400000; // 1天有效期 // 生成Token public static String generateToken(String username) { Date now = new Date(); Date expiration = new Date(now.getTime() + EXPIRATION_TIME); Map<String, Object> claims = new HashMap<>(); claims.put("username", username); return Jwts.builder() .setClaims(claims) .setIssuedAt(now) .setExpiration(expiration) .signWith(SignatureAlgorithm.HS256, SECRET_KEY) .compact(); } // 验证Token public static boolean validateToken(String token) { try { Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token); return true; } catch (Exception e) { return false; } } // 从Token中获取用户名 public static String getUsernameFromToken(String token) { Claims claims = Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody(); return claims.get("username", String.class); }}3.2.3、用户登录逻辑
在用户登录成功后，生成Token并返回给前端。
同时，可以考虑在数据库中记录当前有效的Token，以便于检查重复登录。
@RestController@RequestMapping("/api/auth")public class AuthController { @PostMapping("/login") public ResponseEntity<Map<String, String>> login(@RequestBody LoginRequest loginRequest) { // 假设UserService能根据用户名和密码验证用户 if (userService.authenticate(loginRequest.getUsername(), loginRequest.getPassword())) { // 生成Token String token = JwtUtils.generateToken(loginRequest.getUsername()); // 假设TokenService用于存储和管理Token tokenService.saveToken(token); Map<String, String> response = new HashMap<>(); response.put("token", token); return ResponseEntity.ok(response); } else { throw new ResponseStatusException(HttpStatus.UNAUTHORIZED, "Invalid username or password"); } }}3.2.4、防止重复登录
在每次请求时验证Token，并检查数据库中是否已有相同的活跃Token。
如果有，则认为是重复登录。
// 示例拦截器或过滤器逻辑public class JwtAuthenticationFilter extends OncePerRequestFilter { @Autowired private TokenService tokenService; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String token = getTokenFromRequest(request); if (JwtUtils.validateToken(token)) { String username = JwtUtils.getUsernameFromToken(token); if (tokenService.isTokenActive(username, token)) { // Token有效且未被其他会话使用，继续请求链 filterChain.doFilter(request, response); } else { // 重复登录，可以在这里处理逻辑，如返回错误信息 response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "重复登录"); } } else { // Token无效，可以在这里处理逻辑 response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "无效的Token"); } } // 从请求中提取Token的逻辑 private String getTokenFromRequest(HttpServletRequest request) { String bearerToken = request.getHeader("Authorization"); if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) { return bearerToken.substring(7); } return null; }}3.3、优缺点：
优点：支持跨域登录验证，适用于分布式系统；安全性较高。
缺点：需要额外的Token管理机制，如过期处理、存储和验证逻辑。
4. 综合考虑
根据实际应用场景选择合适的方案。
对于大多数Web应用，结合Session和数据库或Token机制可以有效防止用户重复登录，同时兼顾用户体验和安全性。
在设计时还需考虑性能、扩展性和安全性之间的平衡。