Controlar un solo inició de session en una aplicacion web

[cahosoft]

cordial saludo...
como se seria la forma de controlar el acceso o inicio de session a aplicacion web..donde el usuario solo pueda iniciar una sola session...
si intenta logearse de nuevo que cierre la anterior sesion o que le salga un mensage que diga que ya hay una session con este usuario....

[DiabloGuardian]

antes de buscar por ejemplo en una base de datos a tu usuario revisas si la session es diferente de nulo y de ahi haces lo que quieras. no tengo a la mano el ejemplo pero lo busco y luego lo pongo aca, pero por mientras ojala y te de una idea esto

saludos

[GreenEyed]

El objeto que es común a todas las sesiones en una aplicación web es el contexto. Si guardas ahí, o en algún objeto referenciado desde ahí, una lista de los usuarios que tienen abierta una sesión, podrás comprobar que no te abren dos.

S!

[cahosoft]

Tenes razon..pero la verdad no se como hacerlo..pues yo valido si ha iniciado session preguntado si esta es null o no... el problem es como acceder a las otras session a ver si ya hay una con el usuario en cuestion..

[erlolialo]

Otra solucion posible es detectar al inicio si ese usuario esta logado, y si lo está, que aparezca un enlace directo a su espacio personal, y si no esta logado que aparezca la opcion de login.

Al principio pones:

Código:

<%
            if (request.getSession().getAttribute("administrador")==null && request.getSession().getAttribute("usuarioRegistrado")==null) {

%>
--------------formulario de login-----------------
<% } else { %>

-----------------acceso directo al espacio personal.--------------------

Al hacer login como administrador o como usuario habra que modificar las variables de sesion anteriores para que sean != null

[GreenEyed]

Repito, no puedes acceder a las otras sesiones, pero todas comparten el contexto ( ServletContext ) y ahí puedes guardar cosas... como una lista de usuarios que tienen sesion abierta. Y puedes hacer comprobaciones contra esa lista, compartida entre todas las sesiones.

S!

[cahosoft]

Gracias..voy a investigar todo sobre ServletContext....

[ezefarina]

Tener una lista en memoria con todos los usuarios cargados, PERSONALMENTE, me parece un poco redundante (sin desmerecer los comentarios anteriores). Confio plenamente en la opción que te da erlolialo. Yo desarrollé muchas aplicaciones web, y la solución que el te plantea, es muy similar a la que yo implementé en todos ellos. Si bien yo no uso JSP, lo hacía con Servlets. Entonces, checkeaba si estaba logueado, Si lo esta muestro la LogInView, si no, cargo la View que corresponda al request recibido. Y todos los Servlet extienden del servlet abstracto que contiene la lógica de esta, de mostrar una view u otra según corresponda.

En cuanto a la lógica para verificar si hay sesión abierta o no, hacía lo siguiente.
Al recibir el user y pass del logIn, checkeo, si estan OK, genero un hash, se lo pongo como cookie, y en una session que tiene de nombre el mismo hash, guardo el System.currentTimeMilis actual. Cada vez que recibo un request, obtengo el hash de la cookie, y llamo a la session por su nombre con el mismo hash. Si la session existe, todo ok. Si no existe, muestro la pagina de login. Si la cookie no existe, también muestro la página de logIn, y si pasó una hora de antiguedad de la session, le renueva el hash. Si pasó mas de una hora y media, lo hago logguearse de nuevo.

Entonces la session dura hasta que se cierre el browser, o bien, tras una hora y media de inactividad.

Desconozco la seguridad que debes implementar en tu sistema, pero esta es una buena opción que se aplica bastante en aplicaciones bussiness

Suerte!

[GreenEyed]

¿Y como se supone que detectas que el mismo usuario accede dos veces (desde distintas maquinas, desde la misma maquina con dos navegadores diferentes o desde el mismo navegador con dos ventanas diferentes configurado para sesion-por-ventana)?

En cada uno de los casos, el navegador obtiene una session (cookie) diferente, así que en principio podría acceder varias veces sin problemas.

Sin desmerecer tampoco .

[ezefarina]

Es cierto GreenEyed, es por eso que dije "Desconozco la seguridad que debes implementar en tu sistema, pero esta es una buena opción". En los casos que me surgieron a mi personalmente, sirvió. Pero claro, yo especificamente no deseaba que se permitiera desde distintas maquinas, desde la misma maquina con dos navegadores diferentes o desde el mismo navegador con dos ventanas diferentes configurado para sesion-por-ventana. Es la única razón por la cual uso ese cookie. La solucion para cahosoft tal vez dependa de que restricciones de estas, quiere adoptar, o si no quiere adoptar ninguna de ellas.

GreenEyed, por favor pasate por este post, a ver que opinas
http://www.forosdelweb.com/f45/probl...2/#post2997937

[GreenEyed]

Iniciado por ezefarina

Es cierto GreenEyed, es por eso que dije "Desconozco la seguridad que debes implementar en tu sistema, pero esta es una buena opción". En los casos que me surgieron a mi personalmente, sirvió. Pero claro, yo especificamente no deseaba que se permitiera desde distintas maquinas, desde la misma maquina con dos navegadores diferentes o desde el mismo navegador con dos ventanas diferentes configurado para sesion-por-ventana. Es la única razón por la cual uso ese cookie. La solucion para cahosoft tal vez dependa de que restricciones de estas, quiere adoptar, o si no quiere adoptar ninguna de ellas.
http://www.forosdelweb.com/f45/probl...2/#post2997937

Lo dice en su mensaje original:

como se seria la forma de controlar el acceso o inicio de session a aplicacion web..donde el usuario solo pueda iniciar una sola session...

Usando sólo las sesiones, con o sin cookies añadidas, no se puede controlar. De ahí lo de usar el contexto. En caso de haber muuuuchos usuarios que tengan sesion abierta simultaneamente, se podría considerar guardarlo en BDD, pero vamos, tendrían que ser muchos, muchos.

S!