Struts2登錄攔截器導致同一賬號只能單點登錄：邏輯缺陷分析

現象

• 用戶A登錄後未退出，同瀏覽器/不同瀏覽器/不同IP再次登錄均失敗（返回login input）。
• 必須手動退出或Session失效後才能重新登錄。

根本原因

攔截器邏輯錯誤：常見錯誤模式——攔截器中檢測到Session已有user對象，直接判定為「已登錄」並阻止再次登錄請求，而非允許覆蓋或並發。

錯誤代碼示例

public String intercept(ActionInvocation invocation) {
    HttpSession session = ServletActionContext.getRequest().getSession();
    if (session.getAttribute("user") != null) {
        return "already_logged_in"; // 錯誤：直接攔截，不允許重新登錄
    }
    return invocation.invoke();
}

正確設計原則

1. 登錄動作應允許覆蓋：登錄Action執行前清除舊Session或直接覆蓋session.setAttribute("user", newUser)。
2. 攔截器僅保護業務Action：登錄頁、靜態資源、驗證碼接口需配置excludeMethods或allowedMethods放行。
3. 單點登錄（SSO）需顯式實現：若業務要求強制單點，需在登錄時記錄userId -> sessionId映射，新登錄時踢舊Session（調用session.invalidate()），而非單純攔截。

修正建議

// 登錄 Action
public String login() {
    // 驗證用戶名密碼...
    // 若需強制單點：SessionManager.kickOff(userId); // 移除舊Session
    session.put("user", user);
    return SUCCESS;
}

// 攔截器
public String intercept(ActionInvocation inv) {
    String actionName = inv.getProxy().getActionName();
    if ("login".equals(actionName) || "register".equals(actionName)) {
        return inv.invoke(); // 登錄/註冊不攔截
    }
    if (session.get("user") == null) return LOGIN; // 未登錄跳轉
    return inv.invoke();
}