这只是我的整个配置的一个片段，但是它将检查会话是否只对经过身份验证的用户过期。当你使用.maximumSessions(1)时，你要处理的是并发用户管理。这不是你需要的。
在下面的代码片段中，我检查所有传入的请求是否经过身份验证.anyRequest().authenticated()。如果请求来自一个经过身份验证的用户（我不检查角色），并且会话超时.sessionManagement().invalidSessionUrl()，则将它们重定向回包含登录表单的索引页。

@Configuration
@EnableWebSecurity
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.authorizeRequests()
          .anyRequest().authenticated()
          .and()
          .sessionManagement().invalidSessionUrl("/?sessionexpired=true");
  }

}