Puede agregar una columna de dirección IP a la entidad de usuario que almacena la IP del usuario actual al iniciar sesión. En cada carga de página (a través de un detector de eventos), puede verificar la IP almacenada en la base de datos con la IP de la persona que solicita la página. Si la IP en la base de datos no coincide con la IP del usuario actual (alguien inició sesión desde otra ubicación), cierre la sesión.
Para ir un paso más allá, a través de ajax, puede hacer una llamada al servidor cada X segundos que realiza el mismo tipo de verificación y hacer una redirección para cerrar la sesión del usuario si la solicitud de ajax arroja una mala coincidencia.
