token的作用及实现原理（一）

token在计算机身份认证中是令牌（临时）的意思，在词法分析中是标记的意思。一般作为邀请、登录系统使用。

1：request和session的区别
request
request 指在一次请求的全过程中有效。即从http请求到服务器处理结束，返回响应的整个过程，存放在HttpServletRequest对象中。在这个过程中可以使用forward方式跳转多个jsp。在这些页面里你都可以使用这个变量。request是用户请求访问的当前组件，以及和当前web组件共享同一用户请求的web组件。
session
Session是用户全局变量，在整个会话期间都有效。只要页面不关闭就一直有效（或者直到用户一直未活动导致会话过期，默认session过期时间为30分钟，或调用HttpSession的invalidate()方法）。存放在HttpSession对象中 ，同一个http会话中的web组件共享它。
使session失效：session.invalidate();
session的绑定解绑，和钝化（放在硬盘中，反之活化）：有时需要的东西，如要钝化和活化灵活使用。比如关机会丢失问题。
session的四种状态：
session.setAttribute(“a”,xxx) 将对象a【绑定】到session中,implements：HttpSessionBindingListener
session.removeAttribute(“a”) 将对象a从session中【解绑】
实例：是对bean对象添加或者移除session

public class BeanListener implements HttpSessionBindingListener{
@Override
public void valueBound(HttpSessionBindingEvent event){
   System.out.println("绑定");
   }
   @Override
public void valueUnbound(HttpSessionBindingEvent event){
   System.out.println("解绑");
   }
}

监听session对象的钝化和活化：HttpSessionActivationListener
钝化
活化
实例：
这只是监听钝化和活化，

public class BeanListener implements HttpSessionActivationListener{
@Override
public void sessionWillPassivate(HttpSessionEvent se){
   System.out.println("钝化");
   }
   @Override
public void sessionDidActive(HttpSessionEvent se){
   System.out.println("活化");
   }
}

通过 配置 实现真正钝化和活化的配置：context.xml中配置
钝化实现：
org.apache.catalina.PersistenManager: 该类为钝化管理器
org.apache.catalina.seesion.FileStore : 该类为集体实现钝化

<manager ClassName="org.apache.catalina.PersistenManager" maxIdleSwap="最大空闲时间，超过该时间，将会被钝化">
			<store className="org.apache.catalina.seesion.FileStore" directory="相对路径">
</manager>Store

活化自动实现，不用需要任何操作，只要你去取，就会活化对象。
钝化活化的实现就是序列化和反序列化的操作。
注意：从某地，或本地取出赋值，需要借助（继承）序列化或反序列化接口：serializable接口
这个接口最好制定serializable的id.

2：token主要有两个作用：
①：防止表单重复提交(防止表单重复提交一般还是使用前后端都限制的方式，比如：在前端点击提交之后，将按钮置为灰色，不可再次点击，然后客户端和服务端的token各自独立存储，客户端存储在Cookie或者Form的隐藏域（放在Form隐藏域中的时候，需要每个表单）中，服务端存储在Session（单机系统中可以使用）或者其他缓存系统（分布式系统可以使用）中。)

public String initLogin(ModelMap model, HttpSession session, String loginUrl) {
  model.put("extLoginView", clientManager.getExtLoginView());
     // 生成token
  String token = UUID.randomUUID().toString().substring(0,16);
  model.put(LOGIN_TOKEN, token);
//返回地址与方法的  String loginUrl一致，即初始化的时候调用完方法后，又回到初始化页面
return loginUrl;
}

②：用来作身份验证：
验证流程：客户端使用用户名跟密码->服务端收到验证登陆->验证登陆成功的同时，签发一个 Token传回给客户端->客户端接收Token，存储在如 Cookie 里或者 Local Storage 里->以后客户端每次向服务端请求资源的时候带着这个签发的 Token->服务端验证通过，则做处理。

//跳转到添加页面
@RequestMapping("/add.do")
public String addStatus(HttpServletRequestrequest,HttpServletResponse response){
    //生成token
    UUID token=UUID.randomUUID().toString();
    //放入session中
    request.getSession().setAttribute("token",token);
    //放入request中传到前台
    request.setAttribute("token",token);
    return "addStatus";
}

//前台的token对比
@RequestMapping("/addMessage.do")
public synchronized String addMessage(HttpServletRequest request){
    //获取session中的token
    Object tokenServer=request.getSession().getAttribute("token");
    //获取前台穿过来的token
    String tokenClient=request.getParameter("token");
    if(tokenServer==null){
        System.out.println("提交出错");
    }
    else if(!tokenServer.equals(tokenClient)){
        System.out.println("提交出错");
    }else{
        System.out.println("提交成功");
        //移除session 防止重复提交
      request.getSession().removeAttribute("token");
    }     
    return "";
}