Shiro源码分析之两种Session的方式

最新推荐文章于 2022-08-24 03:24:01 发布

xh199110

最新推荐文章于 2022-08-24 03:24:01 发布

阅读量9k

点赞数 1

分类专栏： Shiro 文章标签： java Shiro Session

本文链接：https://blog.csdn.net/xh199110/article/details/47029533

版权

本文深入分析了Shiro中两种Session管理方式。第一种是默认的ServletContainerSessionManager，它依赖于容器的HttpSession。第二种是通过EnterpriseCacheSessionDAO，实现与容器无关的Session管理，利用缓存进行Session存储。详细阐述了Session的创建、存储和读取过程，并介绍了相关关键类和方法的作用。

摘要由CSDN通过智能技术生成

1、Shiro默认的Session处理方式

 <!-- 定义 Shiro 主要业务对象 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!-- <property name="sessionManager" ref="sessionManager" /> -->
        <property name="realm" ref="systemAuthorizingRealm" />
        <property name="cacheManager" ref="shiroCacheManager" />
    </bean>

这里从DefaultWebSecurityManager这里看起，这个代码是定义的Shiro安全管理对象，看下面的构造方法（代码 1-1）

（代码 1-1）

public DefaultWebSecurityManager() {
       
        super();
        ((DefaultSubjectDAO) this.subjectDAO).setSessionStorageEvaluator(new DefaultWebSessionStorageEvaluator());
        this.sessionMode = HTTP_SESSION_MODE;
        setSubjectFactory(new DefaultWebSubjectFactory());
        setRememberMeManager(new CookieRememberMeManager());
        setSessionManager(new ServletContainerSessionManager());
    }

从构造方法里面可以看出，这里面有 publicvoid setRememberMeManager(RememberMeManager rememberMeManager) 和 publicvoid setSessionManager(SessionManager sessionManager)两个方法。这两个分别是对Shiro的remembereMe功能和Session功能的管理。其中在构造方法里面可以看到，其实一开是就设置了SessionManager，就是默认的：ServletContainerSessionManager().接下来看看默认的ServletContainerSessionManager()是怎么玩转Session的.看下图。这个图显示了这个类的这些个方法

这个类通过getSession(SessionKey)获得Sesison，下面看看这个方法干了些什么（代码1-2）

（代码1-2）

publicSession getSession(SessionKey key) throws SessionException {

        if (!WebUtils.isHttp(key)) { //判断是不是http的key，否则抛异常
            String msg = "SessionKey must be an HTTP compatible implementation.";
            throw new IllegalArgumentException(msg);
        }
        HttpServletRequest request = WebUtils.getHttpRequest(key); //通过工具类获得HttpServletRequest 这类是javax.servlet.http.HttpServletRequest;
        Session session = null;
        HttpSession httpSession = request.getSession(false);//先从request里获得本来存在的
        if (httpSession != null) {
       
            session = createSession(httpSession, request.getRemoteHost());//如果不为空，就创建一个封装了的，为空就不管它
        }
        return session;
    }

可以看看注释，注释上都写好了，这里的意思是，首先判断封装好的Key是不是Http的key，如果是就继续，不是就抛异常.key这个是带了ServletRequest和ServletResponse的WebSessinKey，具体怎么new出来的，看DefaultWebSecurityManager的这方法代码就知道了<

最低0.47元/天解锁文章