Shiro 会话管理了解

Shiro 提供了一个完整的企业级会话管理解决方案，不再依赖web容器。可以在web和非web环境下使用。

 

1、Shiro的session特性

        1）基于POJO/J2SE：shiro中session相关的类都是基于接口实现的简单的java对象（POJO），兼容所有java对象的配置方式，扩展也更方便，完全可以定制自己的会话管理功能 。

        2）简单灵活的会话存储/持久化：因为shiro中的session对象是基于简单的java对象的，所以你可以将session存储在任何地方，例如，文件，各种数据库，内存中等。

        3）容器无关的集群功能：shiro中的session可以很容易的集成第三方的缓存产品完成集群的功能。例如，Ehcache + Terracotta, Coherence, GigaSpaces等。你可以很容易的实现会话集群而无需关注底层的容器实现。

        4）异构客户端的访问：可以实现web中的session和非web项目中的session共享。

        5）会话事件监听：提供对对session整个生命周期的监听。

        6）保存主机地址：在会话开始session会存用户的ip地址和主机名，以此可以判断用户的位置。

        7）会话失效/过期的支持：用户长时间处于不活跃状态可以使会话过期，调用touch()方法，可以主动更新最后访问时间，让会话处于活跃状态。

        8）透明的Web支持：shiro全面支持Servlet 2.5中的session规范。这意味着你可以将你现有的web程序改为shiro会话，而无需修改代码。

        9）SSO单点登录的支持：shiro session基于普通java对象，使得它更容易存储和共享，可以实现跨应用程序共享。可以根据共享的会话，来保证认证状态到另一个程序。从而实现单点登录。

 

2、使用会话

会话： 即用户访问应用时保持的连接关系，在多次交互中应用能够识别出当前访问的用户是谁，且可以在多次交互中保存一些数据。

Shiro的会话支持不仅可以在普通的JavaSE应用中使用，也可以在JavaEE应用中使用，如web应用。且使用方式是一致的。

建议在开发中：Controller层使用原生的HttpSession对象，在Service层中使用Shiro提供的Session对象。如果在Service层中使用HttpSession对象，那么属于侵入式，并不建议这么做。Shiro提供的Session能够很好的解决这个问题。

可以从当前的Subject中获取会话：

Subject subject = SecurityUtils.getSubject();
Session session = subject.getSession();

会话相关API：

返回值	方法名	描述
Object	getAttribute(Object key)	根据key标识返回绑定到session的对象
Collection<Object>	getAttributeKeys()	获取在session中存储的所有的key
String	getHost()	获取当前主机ip地址，如果未知，返回null
Serializable	getId()	获取session的唯一id
Date	getLastAccessTime()	获取最后的访问时间
Date	getStartTimestamp()	获取session的启动时间
long	getTimeout()	获取session失效时间，单位毫秒
void	setTimeout(long maxIdleTimeInMillis)	设置session的失效时间
Object	removeAttribute(Object key)	通过key移除session中绑定的对象
void	setAttribute(Object key, Object value)	设置session会话属性
void	stop()	销毁会话
void	touch()	更新会话最后访问时间

     ① Subject.getSession()

          获取会话，等价于Subject.getSession(true)，即如果当前没有创建session对象会创建一个；Subject.getSession(false)，如果当前没有创建session对象则返回null。

     ② session.getStartTimestamp() & session.getLastAccessTime()

          获取会话的启动时间及最后访问时间；如果是J2SE环境需要自己定期调用session.touch()去更新最后访问时间；如果是Web环境，每次进入ShiroFilter都会自动调用session.touch()来更新最后访问时间。

     ③ session.touch() & session.stop()

          更新会话最后访问时间以及销毁会话；Subject.logout()会自动调用session.stop()。在Web应用中，调用HttpSession.invalidate()也会自动调用session.stop()来销毁shiro的会话。

 

3、会话管理器

SessionManager 管理所有 Subject 的session包括创建、维护、删除、失效、验证等工作。SessionManager 是顶层组件，由 SecurityManager 管理。

SecurityManager 的实现类 DefaultSecurityManager 及 DefaultWebSecurityManager 继承了 SessionsSecurityManager。

SessionsSecurityManager 可以把相应的会话管理委托给 SessionManager。

   

SecurityManager提供了如下接口：

        Session start(SessionContext context); //启动会话

        Session getSession(SessionKey key) throws SessionException; //根据会话Key获取会话

另外用于Web环境的WebSessionManager又提供了如下接口：

        boolean isServletContainerSessions();//是否使用Servlet容器的会话

Shiro还提供了ValidatingSessionManager用于验资并过期会话：

        void validateSessions();//验证所有会话是否过期

配置会话：

        securityManager.sessionManager=$sessionManager

 

4、会话监听器：

     自己的监听器，需要实现 SessionListener  接口

     ① onStart(Session)

          监听会话创建事件

     ② onStop(Session)

          监听会话销毁事件

     ③ onExpiration(Session)

          监听会话过期事件

 

5、会话存储/持久化

Shiro提供SessionDAO用于会话的CRUD，即DAO（Data Access Object）模式实现。

  

     ① AbstractSessionDAO 提供了 SessionDAO 的基础实现，如生成会话ID等。

     ② CachingSessionDAO 提供了对开发者透明的会话缓存的功能，需要设置相应的 CacheManager。

     ③ MemorySessionDAO 直接在内存中进行会话维护。

     ④ EnterpriseCacheSessionDAO 提供了缓存功能的会话维护，默认情况下使用 MapCache 实现，内部使用 ConcurrentHashMap 保存缓存的会话。

 

6、会话验证

     ① Shiro提供了会话验证调度器，用于定期的验证会话是否已过期，如果过期将停止会话。

     ② 出于性能考虑，一般情况下都是获取会话的同时来验证会话是否过期并停止会话的；但是如果在Web环境中，如果用户不主动退出是不知道会话是否过期的，因此需要定义的检测会话是否过期，Shiro提供了会话验证调度器来定期检查会话是否过期，SessionValidationScheduler 。

     ③ Shrio也提供了使用 Quartz 会话验证调度器 QuartzSessionValidationScheduler 。

使用 Quartz 时需要导入 shiro-quartz 依赖：

<!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-quartz -->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-quartz</artifactId>
    <version>1.4.0</version>
</dependency>

 

参考文章：

    https://blog.csdn.net/ljxbbss/article/details/77771001

    https://www.cnblogs.com/startcaft/p/7456933.html

end ~