Web项目开发之登录校验分析

问题分析

在Web项目开发当中，这里依然以员工部门关系系统为例（方便最快的清楚业务逻辑，而专注于技术实现），如果仅仅是完成了基础登录功能的开发与测试，也即仅仅在后端对用户名和密码校对，那么我们在地址栏直接输入员工部门管理的页面地址是可以直接绕过登录页面直接跳到员工部门管理的页面当中的。
而真正的登录功能应该是：登陆后才能访问后端系统页面，不登陆则跳转登陆页面进行登陆。

为什么会出现这个问题？其实原因很简单，就是因为我们在服务器端并没有做任何的判断，没有去判断用户是否登录了。所以无论用户是否登录，都可以访问学生管理以及课程管理的相关数据。。而我们要想解决这个问题，我们就需要完成一步非常重要的操作：登录校验。

1. 所谓登录校验，指的是我们在服务器端接收到浏览器发送过来的请求之后，首先我们要对请求进行校验。先要校验一下用户登录了没有，如果用户已经登录了，就直接执行对应的业务操作就可以了；如果用户没有登录，此时就不允许他执行相关的业务操作，直接给前端响应一个错误的结果，最终跳转到登录页面，要求他登录成功之后，再来访问对应的数据。

实现思路

首先我们在宏观上先有一个认知，我们知道HTTP协议是无状态协议。什么又是无状态的协议？
2. 所谓无状态，指的是每一次请求都是独立的，下一次请求并不会携带上一次请求的数据。而浏览器与服务器之间进行交互，基于HTTP协议也就意味着现在我们通过浏览器来访问了登陆这个接口，实现了登陆的操作，接下来我们在执行其他业务操作时，服务器也并不知道这个员工到底登陆了没有。因为HTTP协议是无状态的，两次请求之间是独立的，所以是无法判断这个员工到底登陆了没有。

那应该怎么来实现登录校验的操作呢？具体的实现思路可以分为两部分：

1. 在员工登录成功后，需要将用户登录成功的信息存起来，记录用户已经登录成功的标记。
2. 在浏览器发起请求时，需要在服务端进行统一拦截，拦截后进行登录校验。

想要判断员工是否已经登录，我们需要在员工登录成功之后，存储一个登录成功的标记，接下来在每一个接口方法执行之前，先做一个条件判断，判断一下这个员工到底登录了没有。如果是登录了，就可以执行正常的业务操作，如果没有登录，会直接给前端返回一个错误的信息，前端拿到这个错误信息之后会自动的跳转到登录页面。
我们程序中所开发的查询功能、删除功能、添加功能、修改功能，都需要使用以上套路进行登录校验。此时就会出现：相同代码逻辑，每个功能都需要编写，就会造成代码非常繁琐。
为了简化这块操作，我们可以使用一种技术：统一拦截技术。
通过统一拦截的技术，我们可以来拦截浏览器发送过来的所有的请求，拦截到这个请求之后，就可以通过请求来获取之前所存入的登录标记，在获取到登录标记且标记为登录成功，就说明员工已经登录了。如果已经登录，我们就直接放行(意思就是可以访问正常的业务接口了)。

技术实现概述

我们要完成以上操作，会涉及到web开发中的两个技术：

1. 会话技术
2. 统一拦截技术

而会话技术广义上可以分为三种：

1. Cookie（客户端会话跟踪技术）
   • 数据存储在客户端浏览器当中
2. Session（服务端会话跟踪技术）
   • 数据存储在储在服务端
3. 令牌Jwt技术

而统一拦截技术现实方案有两种：

1. Servlet规范中的Filter过滤器
2. Spring提供的interceptor拦截器