Java商城秒杀之用户模块

1.数据库设计

建立如下字段

2.明文密码两次MD5处理

原因：如果不对密码做任何处理直接明文传输，很容易被黑客截获密码，这样很不安全，于是通过一次MD5加密，这样即使黑客截获密码也看不出真正的密码是什么。但是现在有彩虹表这个反查MD5的技术，为了安全起见可以再MD5一次，并且在两次MD5加密的时候在原数值后加上Salt尾缀，增加破解难度，使黑客无法获取到用户真正的密码。大体步骤如下
（1）用户端：PASS = MD5 （明文+固定Salt）
（2）服务端：PASS = MD5（用户输入+随机Salt）
明文密码做MD5传给服务端，服务端加入随机Salt与用户输入的密码拼接起来，然后再一次MD5,把MD5和Salt同时写入数据库当中。第一次MD5是为了防止用户的密码在网络上明文传输，服务端的MD5是为了防止反查MD5获取到用户的密码，双重保险。
加入依赖

<dependency>
            <groupId>commons-codec</groupId>
            <artifactId>commons-codec</artifactId>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-lang3</artifactId>
            <version>3.6</version>
        </dependency>

创建util包（存放MD5相关的类）
创建MD5util类，拼接Salt做MD5加密，第一次MD5后到服务端拼接随机Salt并将Salt和第一次MD5后的用户密码存入数据库。

import org.apache.commons.codec.digest.DigestUtils;


public class MD5Util {

    public static String md5(String src) {
        return DigestUtils.md5Hex(src);
    }

    private static final String salt = "1a2b3c4d";
    //拼接Salt并MD5加密，第一个Salt如果随机，服务端无法知道是什么
    public static String inputPassToFormPass(String inputPass) {
        String str = ""+salt.charAt(0)+salt.charAt(2) + inputPass +salt.charAt(5) + salt.charAt(4);
        System.out.println(str);
        return md5(str);
    }
    //第二次MD5，生成随机Salt
    public static String formPassToDBPass(String formPass, String salt) {
        String str = ""+salt.charAt(0)+salt.charAt(2) + formPass +salt.charAt(5) + salt.charAt(4);
        return md5(str);
    }

    public static String inputPassToDbPass(String inputPass, String saltDB) {
        String formPass = inputPassToFormPass(inputPass);
        String dbPass = formPassToDBPass(formPass, saltDB);
        return dbPass;
    }

    public static void main(String[] args) {
        System.out.println(inputPassToFormPass("123456"));//d3b1294a61a07da9b49b6e22b2cbd7f9
//		System.out.println(formPassToDBPass(inputPassToFormPass("123456"), "1a2b3c4d"));
//		System.out.println(inputPassToDbPass("123456", "1a2b3c4d"));//b7797cce01b4b131b433b6acf4add449
    }

}

3.JSR303参数校验和全局异常处理器

（1）在登录的controller中每一次登录都要做参数校验，
加入JSR303校验的依赖

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-validation</artifactId>
</dependency>

使用方法，第一步在传递loginVo的参数前加@Valid注解

@RequestMapping("/do_login")
    @ResponseBody
    public Result<Boolean> doLogin(HttpServletResponse response, @Valid LoginVo loginVo) {
    	log.info(loginVo.toString());
    	//登录
    	userService.login(response, loginVo);
    	return Result.success(true);
    }

第二步在LoginVo类的每一个需要校验的参数前加@NotNull不允许为空，在手机号前还需加入@IsMobile自定义校验器，在密码参数前还需加入第二个注解@Length(min=32)限制密码长度。
LoginController类如下

@Controller
@RequestMapping("/login")
public class LoginController {

	private static Logger log = LoggerFactory.getLogger(LoginController.class);
	
	@Autowired
	MiaoshaUserService userService;
	
	@Autowired
	RedisService redisService;
	
    @RequestMapping("/to_login")
    public String toLogin() {
        return "login";
    }
    
    @RequestMapping("/do_login")
    @ResponseBody
    public Result<Boolean> doLogin(HttpServletResponse response, @Valid LoginVo loginVo) {
    	log.info(loginVo.toString());
    	//登录
    	userService.login(response, loginVo);
    	return Result.success(true);
    }
}

建立自定义校验器的包validator，在包中建立IsMobile注解和IsMobileValidator类
IsMobile注解

@Target({ METHOD, FIELD, ANNOTATION_TYPE, CONSTRUCTOR, PARAMETER })
@Retention(RUNTIME)
@Documented
@Constraint(validatedBy = {IsMobileValidator.class })//系统看到这个注解后会调用校验器进行校验
public @interface  IsMobile {
	
	boolean required() default true;//允许互传
	
	String message() default "手机号码格式错误";//如果校验不通过提示...信息

	Class<?>[] groups() default { };

	Class<? extends Payload>[] payload() default { };
}

IsMobileValidator类

public class IsMobileValidator implements ConstraintValidator<IsMobile, String> {
	//是否可以为空
	private boolean required = false;
	//初始化方法，接收注解
	public void initialize(IsMobile constraintAnnotation) {

		required = constraintAnnotation.required();
	}
	//判断是否合法，如果值是必须的就判断是否合法，如果不是必须的就判断是否有值，如果为空就返回空，不为空就判断其格式
	public boolean isValid(String value, ConstraintValidatorContext context) {
		if(required) {
			return ValidatorUtil.isMobile(value);
		}else {
			if(StringUtils.isEmpty(value)) {
				return true;
			}else {
				return ValidatorUtil.isMobile(value);
			}
		}
	}
}

全局异常拦截器，新建exception包，建立GlobalException类和GlobalExceptionHandler类。
GlobalExceptionHandler类

@ControllerAdvice//类似xml的实现
@ResponseBody
//相当于controller
public class GlobalExceptionHandler {
	@ExceptionHandler(value=Exception.class)//拦截任何异常
	//两个异常由系统传入
	public Result<String> exceptionHandler(HttpServletRequest request, Exception e){
		e.printStackTrace();
		if(e instanceof GlobalException) {
			GlobalException ex = (GlobalException)e;//强制转换
			return Result.error(ex.getCm());//获取并返回CodeMsg错误信息
		}else if(e instanceof BindException) {
			BindException ex = (BindException)e;//绑定异常
			List<ObjectError> errors = ex.getAllErrors();
			ObjectError error = errors.get(0);
			String msg = error.getDefaultMessage();
			return Result.error(CodeMsg.BIND_ERROR.fillArgs(msg));//将msg传入绑定参数中，使错误信息带出去
		}else {
			return Result.error(CodeMsg.SERVER_ERROR);//CodeMag为自定义的错误信息，返回带参数的错误码
		}
	}
}

GlobalException类（全局异常类）在MiaoshaUserService类中判断出现异常后，抛出此异常（if(loginVo == null){ throw new GlobalException(CodeMsg.Server_error); }）抛完之后由异常处理器处理。

public class GlobalException extends RuntimeException{

	private static final long serialVersionUID = 1L;
	
	private CodeMsg cm;
	//定义构造函数
	public GlobalException(CodeMsg cm) {
		super(cm.toString());
		this.cm = cm;
	}

	public CodeMsg getCm() {
		return cm;
	}

}

4.分布式Session

秒杀功能，实际运行的时候有多台服务器，此时会有用户的session处理的问题，第一个请求在第一台服务器上，第二个请求在第二个服务器上，用户的session信息就丢失了。原生的session会同步session，但是同步消耗了过多资源。登录成功后给用户生成一个类似于sessionID的东西（takon）绑定用户的session，写到cookie中传递到客户端，然后客户端在之后的访问中上传这个token，服务端拿到token之后，根据token来取到用户的session信息。token是UUID生成的通用唯一识别码复制的。