shiro学习笔记(8) -- 会话

8. shiro学习笔记(8) – 会话

​ Shiro提供了完整的企业级会话管理功能，不依赖于底层容器（如web容器tomcat），不管JavaSE还是JavaEE环境都可以使用，提供了会话管理、会话事件监听、会话存储/持久化、容器无关的集群、失效/过期支持、对Web的透明支持、SSO单点登录的支持等特性。即直接使用Shiro的会话管理可以直接替换如Web容器的会话管理。

1. 会话

​ 所谓会话，即用户访问应用时保持的连接关系，在多次交互中应用能够识别出当前访问的用户是谁，且可以在多次交互中保存一些数据。如访问一些网站时登录成功后，网站可以记住用户，且在退出之前都可以识别当前用户是谁。

​ Shiro的会话支持不仅可以在普通的JavaSE应用中使用，也可以在JavaEE应用中使用，如web应用。且使用方式是一致的。

// 获取Session
login("classpath:shiro.ini", "zhang", "123");  
Subject subject = SecurityUtils.getSubject();  
Session session = subject.getSession();   

// 唯一标识
session.getId();  

// 获取当前Subject的主机地址，该地址是通过HostAuthenticationToken.getHost()提供的。
session.getHost();  

// 获取/设置当前Session的过期时间；如果不设置默认是会话管理器的全局过期时间。
session.getTimeout();  
session.setTimeout(毫秒);   	

// 获取会话的启动时间及最后访问时间；如果是JavaSE应用需要自己定期调用session.touch()去更新最后访问时间；如果是Web应用，每次进入ShiroFilter都会自动调用session.touch()来更新最后访问时间。
session.getStartTimestamp();  
session.getLastAccessTime();  

// 更新会话最后访问时间及销毁会话；当Subject.logout()时会自动调用stop方法来销毁会话。如果在web中，调用javax.servlet.http.HttpSession. invalidate()也会自动调用Shiro Session.stop方法进行销毁Shiro的会话。 
session.touch();  
session.stop();   

// 设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作。 
session.setAttribute("key", "123");  
Assert.assertEquals("123", session.getAttribute("key"));  
session.removeAttribute("key");  

2. 会话管理器

​ 会话管理器管理着应用中所有Subject的会话的创建、维护、删除、失效、验证等工作。是Shiro的核心组件，顶层组件SecurityManager直接继承了SessionManager，且提供了SessionsSecurityManager实现直接把会话管理委托给相应的SessionManager，DefaultSecurityManager及DefaultWebSecurityManager默认SecurityManager都继承了SessionsSecurityManager。

SecurityManager 提供了如下接口：

Session start(SessionContext context); //启动会话  
Session getSession(SessionKey key) throws SessionException; //根据会话Key获取会话   

另外用于Web环境的WebSessionManager又提供了如下接口：

boolean isServletContainerSessions();//是否使用Servlet容器的会话

拿到session之后,就可以调用以下API

返回值	方法名	描述
Object	getAttribute(Object key)	根据key标识返回绑定到session的对象
Collection	getAttributeKeys()	获取在session中存储的所有的key
String	getHost()	获取当前主机ip地址，如果未知，返回null
Serializable	getId()	获取session的唯一id
Date	getLastAccessTime()	获取最后的访问时间
Date	getStartTimestamp()	获取session的启动时间
long	getTimeout()	获取session失效时间，单位毫秒
void	setTimeout(long maxIdleTimeInMillis)	设置session的失效时间
Object	removeAttribute(Object key)	通过key移除session中绑定的对象
void	setAttribute(Object key, Object value)	设置session会话属性
void	stop()	销毁会话
void	touch()	更新会话最后访问时间

Shiro提供了三个默认实现：

DefaultSessionManager：DefaultSecurityManager使用的默认实现，用于JavaSE环境；

ServletContainerSessionManager：DefaultWebSecurityManager使用的默认实现，用于Web环境，其直接使用Servlet容器的会话；

DefaultWebSessionManager：用于Web环境的实现，可以替代ServletContainerSessionManager，自己维护着会话，直接废弃了Servlet容器的会话管理。

3. 会话监听

会话监听器用于监听会话创建、过期及停止事件：

public class MySessionListener1 implements SessionListener { 
    @Override 
    public void onStart(Session session) {//会话创建时触发
        System.out.println("会话创建：" + session.getId()); 
    } 
    
    @Override 
    public void onExpiration(Session session) {//会话过期时触发
        System.out.println("会话过期：" + session.getId()); 
    } 
    
    @Override 
    public void onStop(Session session) {//退出/会话过期时触发
        System.out.println("会话停止：" + session.getId()); 
    } 
}

如果只想监听某一个事件，可以继承 SessionListenerAdapter 实现：

public class MySessionListener2 extends SessionListenerAdapter { 
     @Override 
     public void onStart(Session session) { 
    	 System.out.println("会话创建：" + session.getId()); 
     } 
}

4. 会话存储/持久化

Shiro 提供 SessionDAO 用于会话的 CRUD，即 DAO（Data Access Object）模式实现：

//如 DefaultSessionManager 在创建完 session 后会调用该方法；如保存到关系数据库/文件系统/NoSQL 数据库；即可以实现会话的持久化；返回会话 ID；主要此处返回的
ID.equals(session.getId())；
Serializable create(Session session); 
//根据会话 ID 获取会话
Session readSession(Serializable sessionId) throws UnknownSessionException; 
//更新会话；如更新会话最后访问时间/停止会话/设置超时时间/设置移除属性等会调用
void update(Session session) throws UnknownSessionException; 
//删除会话；当会话过期/会话停止（如用户退出时）会调用
void delete(Session session); 
//获取当前所有活跃用户，如果用户量多此方法影响性能

​ AbstractSessionDAO提供了SessionDAO的基础实现，如生成会话ID等；CachingSessionDAO提供了对开发者透明的会话缓存的功能，只需要设置相应的 CacheManager 即可；MemorySessionDAO 直接在内存中进行会话维护；而 EnterpriseCacheSessionDAO 提供了缓存功能的会话维护，默认情况下使用 MapCache 实现，内部使用 ConcurrentHashMap 保存缓存的会话。

Shiro 提供了使用 Ehcache 进行会话存储，Ehcache 可以配合 TerraCotta 实现容器无关的分布式集群。

<dependency> 
     <groupId>org.apache.shiro</groupId> 
     <artifactId>shiro-ehcache</artifactId> 
     <version>1.2.2</version> 
</dependency>

5. 会话验证

​ Shiro 提供了会话验证调度器，用于定期的验证会话是否已过期，如果过期将停止会话；出于性能考虑，一般情况下都是获取会话时来验证会话是否过期并停止会话的；但是如在 web环境中，如果用户不主动退出是不知道会话是否过期的，因此需要定期的检测会话是否过期，Shiro 提供了会话验证调度器 SessionValidationScheduler 来做这件事情。

6. sessionFactory

​ sessionFactory 是创建会话的工厂，根据相应的 Subject 上下文信息来创建会话；默认提供了 SimpleSessionFactory 用来创建 SimpleSession 会话。

public class OnlineSession extends SimpleSession { 
     public static enum OnlineStatus { 
         on_line("在线"), hidden("隐身"), force_logout("强制退出"); 
         private final String info; 
         private OnlineStatus(String info) { 
         this.info = info; 
     } 
         
     public String getInfo() { 
     	return info; 
     } 
         
     } 
     private String userAgent; //用户浏览器类型
     private OnlineStatus status = OnlineStatus.on_line; //在线状态
     private String systemHost; //用户登录时系统 IP 
     //省略其他
}

OnlineSession 用于保存当前登录用户的在线状态，支持如离线等状态的控制。

public class OnlineSessionFactory implements SessionFactory { 
     @Override 
     public Session createSession(SessionContext initData) { 
         OnlineSession session = new OnlineSession(); 
         if (initData != null && initData instanceof WebSessionContext) { 
             WebSessionContext sessionContext = (WebSessionContext) initData; 
             HttpServletRequest request = (HttpServletRequest) 
             sessionContext.getServletRequest(); 
             if (request != null) { 
                 session.setHost(IpUtils.getIpAddr(request)); 
                 session.setUserAgent(request.getHeader("User-Agent")); 
                 session.setSystemHost(request.getLocalAddr() + ":" + 
                 request.getLocalPort()); 
             } 
         } 
         return session; 
     } 
}