Spring MVC 操作会话属性详解（@SessionAttributes 与 @SessionAttribute）

---

1. 核心注解对比

注解	作用范围	功能
@SessionAttributes	类级别	声明控制器中需要持久化的模型属性（存入 HttpSession）
@SessionAttribute	方法参数/返回值	显式绑定方法参数或返回值到 HttpSession（已弃用，推荐使用 @SessionAttributes）

---

2. @SessionAttributes 详解

作用：在控制器类上标注，声明哪些模型属性需要被保存到会话中，跨请求共享。

---

2.1 基本用法

@Controller
@SessionAttributes({ "user", "cart" }) // 保存名为 "user" 和 "cart" 的属性
public class UserController {
    // 方法中添加到 Model 的属性会被自动保存到会话
}

---

2.2 参数选项

属性	作用
value	指定要持久化的模型属性名称（字符串数组）
types	指定要持久化的属性类型（Class 对象数组），满足类型即会被保存

示例：按类型保存所有 Cart 类型的属性：

@SessionAttributes(types = { Cart.class })

---

2.3 生命周期管理

• 添加属性：通过 Model 接口添加到模型：

  @GetMapping("/login")
  public String login(@ModelAttribute User user, Model model) {
      model.addAttribute("user", user); // 自动持久化到会话
      return "redirect:/home";
  }
  

• 移除属性：通过 SessionStatus 接口：

  @PostMapping("/logout")
  public String logout(SessionStatus status) {
      status.setComplete(); // 清除所有 @SessionAttributes 标记的属性
      return "redirect:/login";
  }
  

---

3. @SessionAttribute 详解

作用：直接从 HttpSession 获取属性作为方法参数（已弃用，建议改用 @SessionAttributes）。

---

3.1 基本用法

@GetMapping("/profile")
public String showProfile(
    @SessionAttribute("user") User user, // 直接从会话获取 "user" 属性
    Model model
) {
    model.addAttribute("user", user);
    return "profile";
}

---

3.2 注意事项

• 已弃用：Spring 官方推荐通过 @SessionAttributes 管理会话属性，而非直接使用 @SessionAttribute。
• 替代方案：通过 @Autowired 注入 HttpSession 对象：

  @Autowired
  private HttpSession session;
  
  @GetMapping("/cart")
  public String getCart() {
      Cart cart = (Cart) session.getAttribute("cart");
      // ...
  }
  

---

4. 完整代码示例

---

4.1 使用 @SessionAttributes 的控制器

@Controller
@SessionAttributes("user") // 持久化 "user" 属性
public class UserController {

    @GetMapping("/login")
    public String loginPage() {
        return "login";
    }

    @PostMapping("/login")
    public String loginSubmit(
        @ModelAttribute User user,
        Model model
    ) {
        model.addAttribute("user", user); // 自动保存到会话
        return "redirect:/home";
    }

    @GetMapping("/home")
    public String home(
        @ModelAttribute("user") User user, // 从会话获取
        Model model
    ) {
        model.addAttribute("user", user); // 保持会话属性
        return "home";
    }

    @GetMapping("/logout")
    public String logout(SessionStatus status) {
        status.setComplete(); // 清除 "user" 属性
        return "redirect:/login";
    }
}

---

4.2 使用 HttpSession 直接操作

@Controller
public class CartController {

    @Autowired
    private HttpSession session;

    @GetMapping("/addToCart/{productId}")
    public String addToCart(@PathVariable String productId) {
        Cart cart = (Cart) session.getAttribute("cart");
        if (cart == null) {
            cart = new Cart();
            session.setAttribute("cart", cart); // 手动保存
        }
        cart.addProduct(productId);
        return "redirect:/cart";
    }
}

---

5. 对比表格：@SessionAttributes 与 @SessionAttribute

对比项	@SessionAttributes	@SessionAttribute
作用范围	类级别（声明持久化规则）	方法参数/返回值（直接绑定）
推荐程度	推荐（符合 Spring MVC 设计模式）	已弃用（建议改用 @SessionAttributes）
生命周期管理	自动管理（通过 Model 和 SessionStatus）	需手动操作会话（不推荐直接使用）
灵活性	支持按名称或类型持久化	仅支持按名称获取参数

---

6. 常见问题

---

Q1：如何清除单个 @SessionAttributes 属性？

A：通过 SessionStatus 的 setComplete() 会清除所有标记的属性。若需清除单个属性，需直接操作 HttpSession：

session.removeAttribute("user");

Q2：如何避免会话属性内存泄漏？

A：

1. 在用户退出时显式清除属性（如调用 logout 方法）。
2. 配置 HttpSession 的超时时间（web.xml 或 Spring Security）。
3. 对敏感数据及时清理。

Q3：@SessionAttributes 是否支持类型匹配？

A：是的，通过 types 参数指定类型，例如：

@SessionAttributes(types = { Cart.class, User.class })

Q4：能否在 RESTful API 中使用会话属性？

A：可以，但需注意：

• REST 通常要求无状态，会话属性可能破坏这一原则。
• 若需跨请求共享数据，建议改用 Token 或数据库存储。

---

7. 总结

• 推荐实践：
  1. 使用 @SessionAttributes 声明需要持久化的模型属性，通过 Model 接口操作。
  2. 避免直接使用 @SessionAttribute（已弃用），改用 HttpSession 或 @SessionAttributes。
  3. 对会话属性的生命周期进行严格管理，避免内存泄漏。

通过合理使用会话属性，可以实现用户状态的跨请求保持（如登录状态、购物车），但需权衡会话存储的性能和安全性。