（1）合规方案
    对于如登录、修改密码、交易等重要操作，对于用户会话下用户的设备信息是否变化做判断，当前会话下用户设备信息发生变化时，系统应终止操作，给用户返回登录界面。
    基于设备指纹的会话绑定技术，可实现应用系统对敏感业务操作的用户行为实时判别能力。
    （2）安全编码示例：
    1）获取设备指纹
    A.Android设备指纹
    对于Android客户端应用，可通过设备中获取的device ID、Pseudo-Unique ID、mac地址、cpu number、系统版本等信息进行计算（hash处理）得到唯一标识字符串，或者在客户端随机生成一个UUID字符串，然后与用户会话绑定。

    2.     public static String getDeviceId(Context context) {
    4.         StringBuilder deviceId = new StringBuilder();
    5. // 渠道标志 
    6.         deviceId.append("a");
    8.         try {
    9. //wifi mac地址 
    10.             WifiManager wifi = (WifiManager) context.getSystemService(Context.WIFI_SERVICE);
    11.             WifiInfo info = wifi.getConnectionInfo();
    12.             String wifiMac = info.getMacAddress();
    13.             if (!isEmpty(wifiMac)) {
    14.                 deviceId.append("wifi");
    15.                 deviceId.append(wifiMac);
    16.                 PALog.e("getDeviceId : ", deviceId.toString());
    17.                 return deviceId.toString();
    18.             }
    20. //IMEI（imei） 
    21.             TelephonyManager tm = (TelephonyManager) context.getSystemService(Context.TELEPHONY_SERVICE);
    22.             String imei = tm.getDeviceId();
    23.             if (!isEmpty(imei)) {
    24.                 deviceId.append("imei");
    25.                 deviceId.append(imei);
    26.                 PALog.e("getDeviceId : ", deviceId.toString());
    27.                 return deviceId.toString();
    28.             }
    30. //序列号（sn） 
    31.             String sn = tm.getSimSerialNumber();
    32.             if (!isEmpty(sn)) {
    33.                 deviceId.append("sn");
    34.                 deviceId.append(sn);
    35.                 PALog.e("getDeviceId : ", deviceId.toString());
    36.                 return deviceId.toString();
    37.             }
    39. //如果上面都没有， 则生成一个id：随机码 
    40.             String uuid = getUUID(context);
    41.             if (!isEmpty(uuid)) {
    42.                 deviceId.append("id");
    43.                 deviceId.append(uuid);
    44.                 PALog.e("getDeviceId : ", deviceId.toString());
    45.                 return deviceId.toString();
    46.             }
    47.         } catch (Exception e) {
    48.             e.printStackTrace();
    49.             deviceId.append("id").append(getUUID(context));
    50.         }
    52.         PALog.e("getDeviceId : ", deviceId.toString());
    54.         return deviceId.toString();
    55.     }
    57.     /**
    58.      * 得到全局唯一UUID
    59.      */
    60.     public static String getUUID(Context context) {
    61.         SharedPreferences mShare = getSysShare(context, "sysCacheMap");
    62.         if (mShare != null) {
    63.             uuid = mShare.getString("uuid", "");
    64.         }
    66.         if (isEmpty(uuid)) {
    67.             uuid = UUID.randomUUID().toString();
    68.             saveSysMap(context, "sysCacheMap", "uuid", uuid);
    69.         }
    71.         PALog.e(tag, "getUUID : " + uuid);
    72.         return uuid;
    73.     }

    B.iOS设备指纹
    对于iOS客户端应用，可通过获取IDFA、IDFV、UDID、系统版本号等设备标识，然后经过计算（hash处理）后得到唯一标识字符串，然后与服务器端用户会话进行绑定。

    1. NSString *uuid = [[NSUUID UUID] UUIDString];//获取UUID
    2. NSString *idfv = [[[UIDevice currentDevice] identifierForVendor] UUIDString];//获取IDFV标识
    3. NSString *identifierForAdvertising = [[ASIdentifierManager sharedManager].advertisingIdentifier UUIDString];//获取IDFA标识

    C.Web指纹识别
    对于web应用，结合浏览器的User Agent、语言、颜色深度、屏幕分辨率、时区、是否具有会话存储、是否具有本地存储、是否具有索引DB、IE是否指定AddBehavior、是否有打开的DB、CPU类型、平台、是否DoNotTrack、已安装的Flash字体列表、Canvas指纹、WebGL指纹、浏览器的插件信息、是否安装AdBlock等，然后这些值通过散列函数传递产生指纹来对用户的设备进行精确识别后，与会话进行绑定。

    1. var fingerprint = new Fingerprint().get();

    2）会话与设备指纹绑定
    用户登录时，服务器端应对同一客户端登录的用户数量和一个用户同时在多个客户端登陆进行限制，将设备信息与用户会话绑定，并且对会话进行监听。实现方案如下：
    建立用户登录会话操作类，在用户登录时将用户名、设备信息、Session id存到Session中去。

    1.     public class UserSessionAdd {
    2.         private String clientInfo;
    3.         private String sessID;
    4.         private String userName;
    6.         public String getUserName() {
    7.             return userName;
    8.         }
    10.         public void setUserName(String username) {
    11.             this.userName = username;
    12.         }
    14.         public String getClient() {
    15.             return clientInfo;
    16.         }
    18.         public void setClient(String client) {
    19.             this.clientInfo = client;
    20.         }
    22.         public String getSessid() {
    23.             return sessID;
    24.         }
    26.         public void setSessID(String sessid) {
    27.             this.sessID = sessid;
    28.         }
    29.     }

    建立一个监听器，实现HttpSessionAttributeListener接口，监听每一个Attribute的增加、编辑、删除事件。监听器中还要建立一个map，将所有的session放入这个map中。

    1. public class MyListener implements HttpSessionAttributeListener {
    3.     Map<String, HttpSession> map = new HashMap<String, HttpSession>();
    5.     //对用户Session操作进行监听
    6.     public void attributeAdded(HttpSessionBindingEvent event) {
    7.         String name = event.getName();
    8.         if (name.equals("usa")) {
    9.             UserSessionAdd usa = (UserSessionAdd) event.getValue();
    10.             if (map.get(usa.getAdd()) != null) {
    11.                 HttpSession sess = map.get(usa.getAdd());
    12.                 //获取用户Session Attribute
    13.                 UserSessionAdd usa1 = (UserSessionAdd) sess.getAttribute("usa");
    14.                 sess.removeAttribute("usa");
    15.                 sess.invalidate();
    16.             }
    17.             map.put(usa.getAdd(), event.getSession());
    18.         }
    19.     }
    21.     public void attributeRemoved(HttpSessionBindingEvent event) {
    22.         String name = event.getName();
    23.         if (name.equals("usa")) {
    24.             UserSessionAdd usa = (UserSessionAdd) event.getValue();
    25.             map.remove(usa.getAdd());
    26.         }
    27.     }
    29.     public void attributeReplaced(HttpSessionBindingEvent event) {
    30.         // TODO Auto-generated method stub
    31.         `
    1.     }
    2. }
    1. 在web.xml中配置监听器，对会话进行监听。
    2. ```xml
    3. <listener>
    4.   <listener-class>监听器类的路径，如：com.web.MyListener</listener-class>
    5. </listener>

    用户登录时，将获取到的设备信息、Session ID、用户名存入Session，实现的监听器会对用户的会话进行监听并依据安全要求进行操作。

    1. //获取用户设备指纹信息
    2. String userClient = getClientInfo(request.getRemoteHost());
    3. String sessionId = request.getSession().getId();
    4. UserSessionAdd usa = new UserSessionAdd();
    5. usa.setUserName(username);
    6. usa.setSessID(sessionId);
    7. usa.setClient(userClient);
    8. request.getSession().setAttribute(“usa”, usa);