apache shiro （4）会话

ゝ一纸荒年。 2023-07-09 08:30 14阅读 0赞

## 会话 ##

session.getId(); 获取当前会话的唯一标识

session.getHost(); 获取当前 Subject 的主机地址，该地址是通过 HostAuthenticationToken.getHost()提供的。

session.getTimeout();

session.setTimeout(毫秒); 获取/设置当前 Session 的过期时间；如果不设置默认是会话管理器的全局过期时间。

session.getStartTimestamp();

session.getLastAccessTime(); 获取会话的启动时间及最后访问时间；如果是 JavaSE 应用需要自己定期调用 session.touch() 去更新最后访问时间；如果是 Web 应用，每次进入 ShiroFilter 都会自动调用 session.touch() 来更新最后访问时间。

session.touch();

session.stop(); 更新会话最后访问时间及销毁会话；当 Subject.logout()时会自动调用 stop 方法来销毁会话。 如果在web中，调用javax.servlet.http.HttpSession. invalidate()也会自动调用Shiro Session.stop 方法进行销毁 Shiro 的会话。

session.setAttribute("key", "123");

Assert.assertEquals("123", session.getAttribute("key"));

session.removeAttribute("key"); 设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作。

## 会话管理器 ##

会话管理器管理着应用中所有 Subject 的会话的创建、维护、删除、失效、验证等工作。是 Shiro 的核心组件，顶层组件 SecurityManager 直接继承了 SessionManager，且提供了 SessionsSecurityManager 实 现 直 接 把 会话管理 委 托 给 相 应 的 SessionManager ， DefaultSecurityManager 及 DefaultWebSecurityManager 默认 SecurityManager 都继承了 SessionsSecurityManager。

**Shiro 提供了三个默认实现：**

DefaultSessionManager：DefaultSecurityManager 使用的默认实现，用于 JavaSE 环境；

ServletContainerSessionManager：DefaultWebSecurityManager 使用的默认实现，用于 Web 环境，其直接使用 Servlet 容器的会话；

DefaultWebSessionManager ： 用 于 Web 环境的实 现 ， 可 以 替 代 ServletContainerSessionManager，自己维护着会话，直接废弃了 Servlet 容器的会话管理。

**会话监听器**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70][]

**会话存储/持久化**

//如 DefaultSessionManager 在创建完 session 后会调用该方法；如保存到关系数据库/文件 系统/NoSQL 数据库；即可以实现会话的持久化；返回会话 ID；主要此处返回的 ID.equals(session.getId())； 
    
    Serializable create(Session session); 
    
    //根据会话 ID 获取会话 
    
    Session readSession(Serializable sessionId) throws UnknownSessionException; 
    
    //更新会话；如更新会话最后访问时间/停止会话/设置超时时间/设置移除属性等会调用 
    
    void update(Session session) throws UnknownSessionException; 
    
    //删除会话；当会话过期/会话停止（如用户退出时）会调用 
    
    void delete(Session session); 
    
    //获取当前所有活跃用户，如果用户量多此方法影响性能

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 1][]

**会话验证**

Shiro 提供了会话验证调度器，用于定期的验证会话是否已过期，如果过期将停止会话；出 于性能考虑，一般情况下都是获取会话时来验证会话是否过期并停止会话的；但是如在 web 环境中，如果用户不主动退出是不知道会话是否过期的，因此需要定期的检测会话是否过 期，Shiro 提供了会话验证调度器 SessionValidationScheduler 来做这件事情。

Shiro 也提供了使用 Quartz 会话验证调度器，使用时需要导入 shiro-quartz 依赖，

<dependency>
     <groupId>org.apache.shiro</groupId>
     <artifactId>shiro-quartz</artifactId>
     <version>1.2.2</version>
    </dependency>

如 上 会 话 验 证 调 度 器 实 现 都 是 直 接 调 用 AbstractValidatingSessionManager 的 validateSessions 方法进行验证，其直接调用 SessionDAO 的 getActiveSessions 方法获取所有 会话进行验证，如果会话比较多，会影响性能；可以考虑如分页获取会话并进行验证，代码示例如下

package com.github.zhangkaitao.shiro.chapter10.session.scheduler;
    
    import com.github.zhangkaitao.shiro.chapter10.JdbcTemplateUtils;
    import com.github.zhangkaitao.shiro.chapter10.SerializableUtils;
    import org.apache.shiro.session.InvalidSessionException;
    import org.apache.shiro.session.Session;
    import org.apache.shiro.session.mgt.*;
    import org.slf4j.Logger;
    import org.slf4j.LoggerFactory;
    import org.springframework.jdbc.core.JdbcTemplate;
    import org.springframework.util.ReflectionUtils;
    
    import java.lang.reflect.Method;
    import java.util.List;
    import java.util.concurrent.Executors;
    import java.util.concurrent.ScheduledExecutorService;
    import java.util.concurrent.ThreadFactory;
    import java.util.concurrent.TimeUnit;
    
    /**
     * <p>User: Zhang Kaitao
     * <p>Date: 14-2-9
     * <p>Version: 1.0
     */
    public class MySessionValidationScheduler implements SessionValidationScheduler, Runnable {
    
        private JdbcTemplate jdbcTemplate = JdbcTemplateUtils.jdbcTemplate();
    
        /** Private internal log instance. */
        private static final Logger log = LoggerFactory.getLogger(MySessionValidationScheduler.class);
    
        ValidatingSessionManager sessionManager;
        private ScheduledExecutorService service;
        private long interval = DefaultSessionManager.DEFAULT_SESSION_VALIDATION_INTERVAL;
        private boolean enabled = false;
    
        public MySessionValidationScheduler() {
            super();
        }
    
        public ValidatingSessionManager getSessionManager() {
            return sessionManager;
        }
    
        public void setSessionManager(ValidatingSessionManager sessionManager) {
            this.sessionManager = sessionManager;
        }
    
        public long getInterval() {
            return interval;
        }
    
        public void setInterval(long interval) {
            this.interval = interval;
        }
    
        public boolean isEnabled() {
            return this.enabled;
        }
    
        /**
         * Creates a single thread {@link ScheduledExecutorService} to validate sessions at fixed intervals
         * and enables this scheduler. The executor is created as a daemon thread to allow JVM to shut down
         */
        //TODO Implement an integration test to test for jvm exit as part of the standalone example
        // (so we don't have to change the unit test execution model for the core module)
        public void enableSessionValidation() {
            if (this.interval > 0l) {
                this.service = Executors.newSingleThreadScheduledExecutor(new ThreadFactory() {
                    public Thread newThread(Runnable r) {
                        Thread thread = new Thread(r);
                        thread.setDaemon(true);
                        return thread;
                    }
                });
                this.service.scheduleAtFixedRate(this, interval, interval, TimeUnit.MILLISECONDS);
                this.enabled = true;
            }
        }
    
        public void run() {
            if (log.isDebugEnabled()) {
                log.debug("Executing session validation...");
            }
            long startTime = System.currentTimeMillis();
    
            //分页获取会话并验证
            String sql = "select session from sessions limit ?,?";
            int start = 0; //起始记录
            int size = 20; //每页大小
            List<String> sessionList = jdbcTemplate.queryForList(sql, String.class, start, size);
            while(sessionList.size() > 0) {
                for(String sessionStr : sessionList) {
                    try {
                        Session session = SerializableUtils.deserialize(sessionStr);
                        Method validateMethod = ReflectionUtils.findMethod(AbstractValidatingSessionManager.class, "validate", Session.class, SessionKey.class);
                        validateMethod.setAccessible(true);
                        ReflectionUtils.invokeMethod(validateMethod, sessionManager, session, new DefaultSessionKey(session.getId()));
                    } catch (Exception e) {
                        //ignore
                    }
                }
                start = start + size;
                sessionList = jdbcTemplate.queryForList(sql, String.class, start, size);
            }
    
            long stopTime = System.currentTimeMillis();
            if (log.isDebugEnabled()) {
                log.debug("Session validation completed successfully in " + (stopTime - startTime) + " milliseconds.");
            }
        }
    
        public void disableSessionValidation() {
            this.service.shutdownNow();
            this.enabled = false;
        }
    }

如果是在获取会话时验证了会话已过期，将抛出 InvalidSessionException；因此需要捕获这 个异常并跳转到相应的页面告诉用户会话已过期，让其重新登录，如可以在 web.xml 配置 相应的错误页面

**sessionFactory**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 3][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200228153306492.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200228154015531.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200228160043973.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200228160140839.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3NzY5MzIz,size_16,color_FFFFFF,t_70