Spring Boot 基于 Session 实现单点登录：原理、实践与优化详解-CSDN博客

本文链接：https://blog.csdn.net/weixin_42593797/article/details/147513250

前言

在多系统协同的应用场景中，单点登录（SSO）是提升用户体验和管理效率的关键技术。基于 Session 的单点登录方案，借助服务器对会话状态的管理，实现用户一次登录、多处访问。本文将深入剖析 Spring Boot 基于 Session 实现单点登录的原理、实现步骤、优缺点及优化策略，并提供详细代码示例。

一、Session 实现单点登录原理

1.1 基本概念

Session 是服务器端用于存储用户会话信息的机制。在单点登录场景下，Session 主要用于记录用户的登录状态，不同系统通过共享 Session 信息，判断用户是否已登录，从而实现统一认证。

1.2 实现流程

用户登录主系统：用户在主系统（如main.example.com）输入用户名和密码进行登录。
创建 Session：主系统验证用户身份通过后，在服务器端创建一个 Session，存储用户的登录信息（如用户 ID、用户名、权限等），并生成一个唯一的 Session ID。
返回 Session ID：主系统将 Session ID 通过 Cookie 发送到用户浏览器。
访问其他子系统：当用户访问同一域名下的其他子系统（如sub1.example.com、sub2.example.com）时，浏览器会自动携带包含 Session ID 的 Cookie。
验证 Session：子系统接收到请求后，根据 Session ID 从共享的 Session 存储中获取用户信息，验证用户的登录状态。若 Session 有效，则允许用户访问资源；若 Session 无效或过期，则引导用户重新登录。

1.3 共享 Session 的实现方式

基于 Tomcat 集群的 Session 共享：通过配置 Tomcat 集群的会话复制功能，使多个 Tomcat 实例之间共享 Session 数据。
使用分布式缓存：如 Redis、Memcached 等，将 Session 数据存储在分布式缓存中，不同系统通过访问缓存获取 Session 信息。
数据库存储：将 Session 数据存储在数据库表中，各系统通过查询数据库验证 Session 有效性。

二、Spring Boot 基于 Session 实现单点登录的方式

2.1 项目搭建与依赖添加

创建 Spring Boot 项目，在pom.xml中添加 Web 和 Session 相关依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.session</groupId>
        <artifactId>spring-session-core</artifactId>
    </dependency>
</dependencies>

2.2 配置共享 Session（以 Redis 为例）

在application.yml中配置 Redis 作为 Session 存储：

spring:
  session:
    store-type: redis
  redis:
    host: localhost
    port: 6379

2.3 登录功能实现

创建AuthController类，处理用户登录请求并创建 Session：

import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpSession;

@RestController
public class AuthController {

    // 模拟用户认证（实际需对接数据库）
    private boolean authenticate(String username, String password) {
        return "admin".equals(username) && "123456".equals(password);
    }

    @PostMapping("/login")
    public String login(@RequestParam String username, @RequestParam String password) {
        if (authenticate(username, password)) {
            ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes();
            HttpSession session = attributes.getRequest().getSession(true);
            session.setAttribute("username", username);
            session.setAttribute("isLoggedIn", true);
            return "登录成功";
        }
        return "登录失败";
    }
}

2.4 受保护资源接口与验证

创建ProtectedResourceController类，在访问受保护资源前验证 Session：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpSession;

@RestController
public class ProtectedResourceController {

    @GetMapping("/protected")
    public String protectedResource() {
        ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes();
        HttpSession session = attributes.getRequest().getSession(false);
        if (session != null && session.getAttribute("isLoggedIn") != null && (boolean) session.getAttribute("isLoggedIn")) {
            String username = (String) session.getAttribute("username");
            return "欢迎，" + username + "！这是受保护的资源。";
        }
        return "请先登录";
    }
}

2.5 登出功能实现

创建LogoutController类，删除 Session 实现登出：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpSession;

@RestController
public class LogoutController {

    @GetMapping("/logout")
    public String logout() {
        ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.currentRequestAttributes();
        HttpSession session = attributes.getRequest().getSession(false);
        if (session != null) {
            session.invalidate();
        }
        return "登出成功";
    }
}