登录认证-登录校验-会话技术

news2024/11/23 14:28:27

会话技术

会话跟踪方案对比

方案一：Cookie

实现思路

具体代码

优点

缺点

方案二：Session

实现思路

具体代码

优点

缺点

方案三：令牌技术（主流方案）

实现思路

优点

缺点

会话技术

会话：用户打开浏览器，访问web服务的资源，会话建立，直到一方断开连接，会话结束。在一次会话中包含多次请求和响应。
会话跟踪：一种维护浏览器状态的方法，浏览器需要识别多次请求是否来源于同一个浏览器，以便在同一次会话的多次请求之间共享数据。
会话跟踪方案
- 客户端会话跟踪技术：Cookie
- 服务端会话跟踪技术：Session
- 令牌技术

会话跟踪方案对比

方案一：Cookie

实现思路
- 在浏览器第一次发送请求，请求服务器时，可以设置一个Cookie，在Cookie可以存储相关的信息，然后服务器端将Cookie自动（Set-Cookie：name=valie，用于设置Cookie的数据）响应给浏览器，浏览器接收到Cookie后，会自动将Cookie的值（name=value）存储到浏览器本地，以后的请求都会自动将存储在本地的Cookie中的数据（Cookie：name=value，用于携带Cookie的数据）传送到服务端，在服务端就可以获取到该Cookie的值，并且判断该Cookie中的值是否存在。
具体代码

package com.example.tlias.controller;

import com.example.tlias.pojo.Result;
import jakarta.servlet.http.Cookie;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import lombok.extern.slf4j.Slf4j;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@Slf4j
public class SessionController {
    @GetMapping("/c1")
    // todo 设置Cookie
    public Result cookie1(HttpServletResponse response) {
        response.addCookie(new Cookie("login_name", "hkm"));
        return Result.success();
    }

    @GetMapping("/c2")
    // todo 获取Cookie
    public Result cookie2(HttpServletRequest request) {
        Cookie[] cookies = request.getCookies();
        for (Cookie cookie : cookies) {
            if (cookie.getName().equals("login_name")) {
                System.out.println("login_name:" + cookie.getValue());
            }
        }
        return Result.success();
    }
}

访问c1运行结果如下
访问c2运行结果如下
- 优点
  - Http协议中支持的技术
- 缺点
  - 移动端APP无法使用Cookie
  - 不安全，用户可以自己禁用Cookie
  - Cookie不能跨域（跨域区分的三个维度：协议、ip/域名、端口）

方案二：Session

实现思路
- Sesnsion是服务器端会话跟踪技术，Session是存储在服务器端的，其底层是基于Cookie实现的，在浏览器发送请求请求服务器时，服务器端会自动创建Session会话对象，每一个Session会话对象都会有一个ID，我们称之为SessionID，服务器响应浏览器时会将Session对象的ID通过Cookie响应给浏览器（Set-Cookie：JSESSIONID=1），浏览器会自动存储接受到的Cookie对象至本地，然后在后续的请求会将Cookie的值携带到服务端，服务器获取到Cookie的值（即Session的id），就会找到当前请求的会话对象Session。

具体代码

package com.example.tlias.controller;

import com.example.tlias.pojo.Result;
import jakarta.servlet.http.Cookie;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import jakarta.servlet.http.HttpSession;
import lombok.extern.slf4j.Slf4j;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@Slf4j
public class SessionController {

    // todo 在HttpSession中设置session对象的值
    @GetMapping("/s1")
    public Result Session1(HttpSession session) {
        log.info("HttpSession:{}", session.hashCode());
        session.setAttribute("loginUser-s1","hkm");// 往Session对象中存储
        return Result.success();
    }

    @GetMapping("/s2")
    // todo 获取=session对象的值
    public Result Session2(HttpServletRequest request) {
        HttpSession httpSession = request.getSession();
        log.info("HttpSession-s2:{}", httpSession.hashCode());
        Object loginUser = httpSession.getAttribute("loginUser");
        log.info("loginUser:{}", loginUser);
        return Result.success(loginUser);
    }

}

访问s1运行结果如下：
访问s2运行结果如下

优点
- 数据存储在服务端，安全
缺点
- 服务器集群环境下无法直接使用Sesson
- Cookie的缺点（Session的底层是基于Cookie实现的）

方案三：令牌技术（主流方案）
- 实现思路
  - 令牌是用户身份的标识，本质是一个字符串，浏览器发起请求，在请求登录接口时，如果登陆成功，服务端可以生成一个令牌，该令牌是该用户的合法身份凭证，接下来响应数据的时候就可以直接将令牌响应给前端，前端就会将令牌存储起来（可以存储在Cookie中也可以存储在其他存储空间中），接下来的每一次请求都会将令牌携带到服务端，服务端会校验该令牌的有效性。
- 优点
  - 支持PC端、移动端
  - 解决集群环境下的认证问题
  - 减轻服务器的存储压力
- 缺点
  - 需要自己实现