Receba notificações da api de Servlet via Listeners

Com servlets 3.0 basta a anotação @WebListener para que seu listener seja carregado. Para as versões anteriores, há tags correspondentes para o web.xml.

Outros listeners também estão disponíveis para outros tipos de notificações, por exemplo, se fosse necessário descobrir quando o projeto subiu por completo, o servidor poderia nos notificar a partir da interface ServletContextListener e para registrá-la basta adicionar a mesma anotação que foi adicionada no listener anterior.

Mas, para implementar a funcionalidade que desejamos - barrar que o mesmo usuário se logue em mais de um lugar - precisamos saber se aquele objeto adicionado - para aquele atributo - não foi adicionado posteriormente por outra requisição. Para isso teríamos de acessar todas as sessões ativas e, por questões de segurança, a especificação não permite.

Uma alternativa é armazenar todos os usuários logados em uma lista e, quando outro usuário tentar efetuar o login novamente, validar se o mesmo objeto já não foi adicionado

Precisamos apenas tomar cuidado com o tipo de lista que iremos armazenar essas informações, ou melhor, como não queremos repetições podemos utilizar a interface Set, que não aceita itens repetidos. Outro cuidado que precisamos ter é que o ciclo de vida de um listener é igual de uma Servlet, ou seja, teremos apenas uma instância de UsuarioDuplicadoListener na memória, sendo compartilhada entre várias threads. Precisamos de uma implementação da interface Set que seja thread-safe e a api do Java nos dispõe de algumas opções que já tomam cuidado com os possível problemas de concorrência, ou utilizar o Collections.synchronizedSet.

Vamos tomar por padrão que o nome do atributo que gerencia o usuário logado no sistema é usuarioLogado, basta então que a classe que represente essa informação implemente os métodos equals e hashCode para que a coleção trate a busca corretamente.

Com essa abordagem temos um código centralizado, independente da implementação que representa o usuário logado no sistema e seria simples implementar alguma regra mais específica - como bloquear o usuário anterior ou até saber quanto usuários logados atualmente temos no sistema. Diversos outros problemas poderiam ser resolvidos com listeners e a api do Java provê outras seis interfaces para escutar diversos eventos que podem ocorrer em uma aplicação web.

HttpSessionAttributeListener HttpSessionListener ServletRequestAttributeListener ServletRequestListener ServletContextAttributeListener

Essa abordagem, de registrar um listener para validar se existe mais de um usuário logado no sistema é usado pelo Spring Security e aqui na Caelum temos um curso que aborda este e diversos outros assuntos do framework Spring.