1.编码的问题
接口限流防刷的时候,通过计数器限流,如果超过某个阈值,向前端返回一个codeMsg对象用于显示的时候,显示的是String是乱码的问题,之前由于一直返回都是json 格式,都是封装好在data里。
这次返回是直接通过输出流直接写到response直接返回字节数组的,而不是spring controller 返回数据(springboot 默认utf-8),出现乱码问题,用utf-8编码,解决。
2、用户登陆的整个流程是如何实现的?
1.首先输入登陆页面的url.http://localhost:8080/login/to_login,controller根据map映射返回给html页,到达登陆页面;
2.整个页面是一个login表单,包含用户名和密码两个输入框部分,还有一个登陆按钮和重置按钮。
3.在前端,给登陆按钮绑定一个login()方法,login()方法中会获取表单中的用户名和密码,然后将密码利用封装好的md5()函数以及设置的固定盐值进行拼接,盐值设置为“1a2b3c”,然后进行MD5算法生成4个32位拼接的散列值作为输入密码(用于 网络传输),作为参数传给后端。(这里的目的主要是第一道加密,防止http明文传输,泄漏密码)。
4.然后ajax异步访问do_login 接口,参数为用户名和md5之后的密码,后端接收到前端传输来的参数后,会对用户名和密码进行参数校验,验证是否为空,是否有格式问题(密码长度6位以上,用户名格式11位等等),如果验证不通过,返回CodeMsg(),封装好的对应的错误信息给前端。
5.如果验证成功,进入下一步,用户的登陆,首先通过用户名取用户对象信息(先从缓存中取,取不到取数据库取,取到了将用户信息存入缓存中,下一次登录我们可以先从缓存中取用户,降低数据库压力),然后返回一个user对象,再判断这个user对象是否为空,若是空就抛出异常,不是空的情况说明数据库中有该用户,然后根据传入的密码和数据中保存的随机盐值,进行md5再次拼接,获得的值若是和数据库中的密码一致,那么说明登陆成功。
关键点6.登陆成功的时候,随机生成uuid作为sessionId,将其写入cookie中返回给客户端,并且将模块前缀+该用户id作为key和sessionId 作为值,存入缓存(这里为分布式缓存提供的基础)。这时候跳转到 抢票列表页面,如果密码不匹配,抛出异常,返回。
3、秒杀的两个关键点如何应对--高并发应对策略+页面加载速度?
程序员说 受不了 怎么办?
短时间的大访问量 网站服务器 同网站,不同项目部署,/独立域名 避免对网站造成影响
高并发问题,不停刷新 数据库 页面静态化
带宽 200k的页面 并发1w次 ,带宽为2G 带宽 秒杀页缓存cdn 租借临时带宽,反向代理服务器,nginx ,甚至用户浏览器。(cookie)
不能提前下单 服务器 url动态化,+随机数
下单之后的抢的问题 sql 乐观锁
大量访问高并发的应对(主要访问大量访问数据库崩溃)
1.Redis预减库存减少数据库访问
2.map标记减少Redis访问屏蔽一定的请求减轻缓存压力
3.消息队列异步处理
流量削峰 开始抢购的瞬间 大量并发进入,先将请求入队,若队列满了,那么舍弃再入队的请求返回一个异常
先给前端一个数据返回表示排队中,再进行后续的业务处理,前端轮询最后成功或者失败在显示业务结果
4.数据库运行的问题,传统的sql写成存储过程(直接调用),加速sql
5.数据库里锁及唯一索引来处理抢的问题。
页面加载速度
页面静态化,缓存在客户端
CDN服务器
在上表中列出来的解决方案中看出,利用 页面静态化、数据静态化,反向代理 等方法可以避免 带宽和sql压力 ,但是随之而来一个问题,页面抢单按钮也不会刷新了,可以把 js 文件单独放在js服务器上,由另外一台服务器写 定时任务 来控制js 推送。
另外还有一个问题,js文件会被大部分浏览器缓存,我们可以使用xxx.js?v=随机数 的方式来避免js被缓存
4、页面静态化的过程
更为激进的缓存方式(之前可以用将html源码缓存起来再读,避免服务器渲染html过程)。
什么是浏览器缓存:
简单来说,浏览器缓存就是把一个已经请求过的Web资源(如html页面,图片,js,数据等)拷贝一份副本储存在浏览器中。缓存会根据进来的请求保存输出内容的副本。当下一个请求来到的时候,如果是相同的URL,缓存会根据缓存机制决定是直接使用副本响应访问请求,还是向源服务器再次发送请求。比较常见的就是浏览器会缓存访问过网站的网页,当再次访问这个URL地址的时候,如果网页没有更新,就不会再次下载网页,而是直接使用本地缓存的网页。只有当网站明确标识资源已经更新,浏览器才会再次下载网页。
页面静态化的好处:我们知道浏览器会将html,图片等静态数据,缓存到本地,在高并发抢票场景,用户会通过不断的刷新页面来进行抢票操作,这样带来Web带宽的浪费以及服务器的访问压力。于是,我们可以通过将抢票页面做成静态页面html页,其中的票务数据通过ajax异步调用接口来获取,仅仅交互的是部分数据,减少了带宽,也加快用户访问的速度。
function getDetail() {
var goodsId = g_getQueryString("goodsId");
$.ajax({
url : "/goods/to_detail/"+goodsId,
type : "GET",
success: function (data) {
if (data.code == 0) {// 访问后端detail 接口拿到数据
render(data.data);//渲染界面的方法
}else {
layer.msg(data.msg)
}
},
error:function () {
layer.msg("客户端请求有误!")
}
})
}
function render(detail) {
var goodsVo =detail.goodsVo;
var miaoshaStatus =detail.miaoshaStatus;
var remainSeconds =detail.remainSeconds;
var user =detail.user;
if (user) {
$("#userTip").hide();//没有就不展示
}
//用获取的参数 放入 对应的模板中
$("#goodsName").text(goodsVo.goodsName);
$("#goodsImg").attr("src", goodsVo.goodsImg);
$("#startTime").text(new Date(goodsVo.startDate).format("yyyy-MM-dd hh:mm:ss"));
$("#remainSeconds").val(remainSeconds);
$("#goodsId").val(goodsVo.id);
$("#goodsPrice").text(goodsVo.goodsPrice);
$("#miaoshaPrice").text(goodsVo.miaoshaPrice);
$("#stockCount").text(goodsVo.stockCount);
countDown();//调用倒计时
}
function countDown() {
var remainSeconds = $("#remainSeconds").val();
// var remainSeconds = $("#remainSeconds").val();
var timeout;//定义一个timeout 保存Timeout 值
if (remainSeconds>0){//秒杀未开始
$("#buyButton").attr("disabled",true);/*还没开始的时候按钮不让点*/
$("#miaoshaTip").html("秒杀倒计时:"+remainSeconds+"秒");
/*且做一个倒计时*/
timeout=setTimeout(function () {//setTimeout 为时间到了之后执行 该函数
$("#countDown").text(remainSeconds-1);//将显示中的值 -1
$("#remainSeconds").val(remainSeconds-1);// remianSeconds 值减一
countDown();//在调用该方法 实现循环
},1000)
}else if (remainSeconds == 0){//秒杀进行中
$("#buyButton").attr("disabled",false);
//当remainSeconds =0
clearTimeout(timeout);//取消timeout 代码执行
$("#miaoshaTip").html("秒杀进行中!")//修改其中的内容
/**加入秒杀数学验证码 功能
* 1.一开始图形验证码和输入框都是隐藏的
* 2.当秒杀进行的时候,显示验证码和输入框
* */
$("#verifyCodeImg").attr("src", "/miaosha/verifyCode?goodsId="+$("#goodsId").val());//访问验证码接口
$("#verifyCodeImg").show();
$("#verifyCode").show();
} else {//秒杀结束
$("#buyButton").attr("disabled",true);
$("#miaoshaTip").html("结束!!!")//修改其中的内容
}
}
做法:首先将票务详情这个template 模板 html页放在static 文件下,然后改掉thymeleaf 模板语言标签让其成为纯html语言,然后将票务列表中的链接指向(本来是requestMapping,向后端contrller 请求这个详情业务及数据,然后利用spring渲染模板,在返回的),现在直接指向static文件下的票务详情页(链接中带商品id作为参数),最后在这个html页面写ajax异步访问后端接口/getdetail,后端接口也改造一下返回的是这个商品的全部详细信息,封装在data里,以json的形式,然后写了一个render(),把从后端传来的数据写进对应数据中。
/** 页面静态化:商品详情页面
* 方法:返回的是一个静态html 页面 + 利用ajax(通过接口)从服务端获取对应数据 + js技术将数据放入html
* */
@RequestMapping(value = "/to_detail/{goodsId}") // 前端传入的参数 goodsId
@ResponseBody
public Result<GoodsDetailVo> detail(HttpServletRequest request, HttpServletResponse response, Model model, MiaoshaUser user,
@PathVariable("goodsId") Long goodsId){//通过注解@PathVariable获取路径参数
/*先将user 传进去 用来判断是否登录*/
model.addAttribute("user",user);
/*根据传入的Id 通过service 拿到对应的Good信息*/
GoodsVo goods = goodsService.getGoodsById(goodsId);
model.addAttribute("goods",goods);
long startTime = goods.getStartDate().getTime();
long endTime = goods.getEndDate().getTime();
long nowTime = System.currentTimeMillis();/* 拿到现在时间的毫秒值*/
/**这里要做一个秒杀时间的判断 秒杀开始 秒杀结束 秒杀进行
* */
int miaoshaStatus = 0;/*用该变量来表示 秒杀的状态 0 表示秒杀未开始 1 开始 2 结束*/
int remainSeconds = 0; /*表示剩余时间 距离秒杀开始的时间*/
if (nowTime<startTime){//秒杀未开始
miaoshaStatus = 0;
remainSeconds = (int)((startTime-nowTime)/1000);//注意此时是 毫秒值 要除以1000
}else if (endTime<nowTime){//秒杀结束
miaoshaStatus = 2;
remainSeconds = -1;
}else {//秒杀进行中
miaoshaStatus = 1;
remainSeconds = 0;
}
model.addAttribute("remainSeconds",remainSeconds);
model.addAttribute("miaoshaStatus",miaoshaStatus);
/*
将我们需要的数据 封装到GoodsDetailVo中
*/
GoodsDetailVo goodsDetailVo = new GoodsDetailVo();
goodsDetailVo.setGoodsVo(goods);
goodsDetailVo.setMiaoshaStatus(miaoshaStatus);
goodsDetailVo.setRemainSeconds(remainSeconds);
goodsDetailVo.setUser(user);
return Result.success(goodsDetailVo);
---------------------
作者:Dandy1awcoder
来源:CSDN
原文:https://blog.csdn.net/weixin_38035852/article/details/81388449
版权声明:本文为博主原创文章,转载请附上博文链接!
5、前端页面较多,怎么进行管理,以及新旧页面更新怎么考虑?
用vue;Vue的主要特点就和它官网(http://cn.vuejs.org/)所介绍的那样:(1) 简洁 (2) 轻量 (3)快速 (4) 数据驱动 (5) 模块友好 (6) 组件化
(1) 模块化
结合一些第三方模块构建工具,如CommonJS、RequireJS或者SeaJs,可以轻松实现代码的模块化。
但是在这里小编不推荐使用上述构建工具,直接使用ES6的模块化功能,再结合Webpack进行相应打包是目前最热门的方案。
不了解ES6模块功能的可以详见:http://es6.ruanyifeng.com/#docs/module
在今后的文章中,我也会对其进行介绍,包括Webpack的配置。
模块化详解(https://www.jb51.net/article/124618.htm、https://www.cnblogs.com/huyinxuan/p/6647545.html)
(2) 组件化
Vue的组件化功能可谓是它的一大亮点,通过将页面上某一组件的html、CSS、js代码放入一个.vue的文件中进行管理可以大大提高代码的维护性。https://www.cnblogs.com/oldboyooxx/p/9186482.html
6、nodejs
单的说 Node.js 就是运行在服务端的 JavaScript。Node.js 是一个基于Chrome JavaScript 运行时建立的一个平台。Node.js是一个事件驱动I/O服务端JavaScript环境,基于Google的V8引擎,V8引擎执行Javascript的速度非常快,性能非常好。
7、前端页面更新,有得客户在用新页面,有得在用旧页面,怎么操作?
8、go语言
是Google开发的一种静态强类型、编译型、并发型,并具有垃圾回收功能的编程语言。beego是一个快速开发Go应用的http框架,作者是SegmentFault 用户,go 语言方面技术大牛。beego可以用来快速开发API、Web、后端服务等各种应用,是一个RESTFul的框架,主要设计灵感来源于tornado、sinatra、flask这三个框架,但是结合了Go本身的一些特性(interface、struct继承等)而设计的一个框架。
---------------------
作者:天府云创
来源:CSDN
原文:https://blog.csdn.net/enweitech/article/details/79347754
版权声明:本文为博主原创文章,转载请附上博文链接!
9、vue.js
10、单点登录怎么做到的?
一、单系统登录机制
1、http无状态协议
web应用采用browser/server架构,http作为通信协议。http是无状态协议,浏览器的每一次请求,服务器会独立处理,不与之前或之后的请求产生关联,这个过程用下图说明,三次请求/响应对之间没有任何联系
但这也同时意味着,任何用户都能通过浏览器访问服务器资源,如果想保护服务器的某些资源,必须限制浏览器请求;要限制浏览器请求,必须鉴别浏览器请求,响应合法请求,忽略非法请求;要鉴别浏览器请求,必须清楚浏览器请求状态。既然http协议无状态,那就让服务器和浏览器共同维护一个状态吧!这就是会话机制
2、会话机制
浏览器第一次请求服务器,服务器创建一个会话,并将会话的id作为响应的一部分发送给浏览器,浏览器存储会话id,并在后续第二次和第三次请求中带上会话id,服务器取得请求中的会话id就知道是不是同一个用户了,这个过程用下图说明,后续请求与第一次请求产生了关联
服务器在内存中保存会话对象,浏览器怎么保存会话id呢?你可能会想到两种方式
- 请求参数
- cookie
将会话id作为每一个请求的参数,服务器接收请求自然能解析参数获得会话id,并借此判断是否来自同一会话,很明显,这种方式不靠谱。那就浏览器自己来维护这个会话id吧,每次发送http请求时浏览器自动发送会话id,cookie机制正好用来做这件事。cookie是浏览器用来存储少量数据的一种机制,数据以”key/value“形式存储,浏览器发送http请求时自动附带cookie信息
tomcat会话机制当然也实现了cookie,访问tomcat服务器时,浏览器中可以看到一个名为“JSESSIONID”的cookie,这就是tomcat会话机制维护的会话id,使用了cookie的请求响应过程如下图
3、登录状态
有了会话机制,登录状态就好明白了,我们假设浏览器第一次请求服务器需要输入用户名与密码验证身份,服务器拿到用户名密码去数据库比对,正确的话说明当前持有这个会话的用户是合法用户,应该将这个会话标记为“已授权”或者“已登录”等等之类的状态,既然是会话的状态,自然要保存在会话对象中,tomcat在会话对象中设置登录状态如下
1 2 |
|
用户再次访问时,tomcat在会话对象中查看登录状态
1 2 |
|
实现了登录状态的浏览器请求服务器模型如下图描述
每次请求受保护资源时都会检查会话对象中的登录状态,只有 isLogin=true 的会话才能访问,登录机制因此而实现。
二、多系统的复杂性
web系统早已从久远的单系统发展成为如今由多系统组成的应用群,面对如此众多的系统,用户难道要一个一个登录、然后一个一个注销吗?就像下图描述的这样
web系统由单系统发展成多系统组成的应用群,复杂性应该由系统内部承担,而不是用户。无论web系统内部多么复杂,对用户而言,都是一个统一的整体,也就是说,用户访问web系统的整个应用群与访问单个系统一样,登录/注销只要一次就够了
虽然单系统的登录解决方案很完美,但对于多系统应用群已经不再适用了,为什么呢?
单系统登录解决方案的核心是cookie,cookie携带会话id在浏览器与服务器之间维护会话状态。但cookie是有限制的,这个限制就是cookie的域(通常对应网站的域名),浏览器发送http请求时会自动携带与该域匹配的cookie,而不是所有cookie
既然这样,为什么不将web应用群中所有子系统的域名统一在一个顶级域名下,例如“*.baidu.com”,然后将它们的cookie域设置为“baidu.com”,这种做法理论上是可以的,甚至早期很多多系统登录就采用这种同域名共享cookie的方式。
然而,可行并不代表好,共享cookie的方式存在众多局限。首先,应用群域名得统一;其次,应用群各系统使用的技术(至少是web服务器)要相同,不然cookie的key值(tomcat为JSESSIONID)不同,无法维持会话,共享cookie的方式是无法实现跨语言技术平台登录的,比如java、php、.net系统之间;第三,cookie本身不安全。
因此,我们需要一种全新的登录方式来实现多系统应用群的登录,这就是单点登录
三、单点登录
什么是单点登录?单点登录全称Single Sign On(以下简称SSO),是指在多系统应用群中登录一个系统,便可在其他所有系统中得到授权而无需再次登录,包括单点登录与单点注销两部分
1、登录
相比于单系统登录,sso需要一个独立的认证中心,只有认证中心能接受用户的用户名密码等安全信息,其他系统不提供登录入口,只接受认证中心的间接授权。间接授权通过令牌实现,sso认证中心验证用户的用户名密码没问题,创建授权令牌,在接下来的跳转过程中,授权令牌作为参数发送给各个子系统,子系统拿到令牌,即得到了授权,可以借此创建局部会话,局部会话登录方式与单系统的登录方式相同。这个过程,也就是单点登录的原理,用下图说明
下面对上图简要描述
- 用户访问系统1的受保护资源,系统1发现用户未登录,跳转至sso认证中心,并将自己的地址作为参数
- sso认证中心发现用户未登录,将用户引导至登录页面
- 用户输入用户名密码提交登录申请
- sso认证中心校验用户信息,创建用户与sso认证中心之间的会话,称为全局会话,同时创建授权令牌
- sso认证中心带着令牌跳转会最初的请求地址(系统1)
- 系统1拿到令牌,去sso认证中心校验令牌是否有效
- sso认证中心校验令牌,返回有效,注册系统1
- 系统1使用该令牌创建与用户的会话,称为局部会话,返回受保护资源
- 用户访问系统2的受保护资源
- 系统2发现用户未登录,跳转至sso认证中心,并将自己的地址作为参数
- sso认证中心发现用户已登录,跳转回系统2的地址,并附上令牌
- 系统2拿到令牌,去sso认证中心校验令牌是否有效
- sso认证中心校验令牌,返回有效,注册系统2
- 系统2使用该令牌创建与用户的局部会话,返回受保护资源
用户登录成功之后,会与sso认证中心及各个子系统建立会话,用户与sso认证中心建立的会话称为全局会话,用户与各个子系统建立的会话称为局部会话,局部会话建立之后,用户访问子系统受保护资源将不再通过sso认证中心,全局会话与局部会话有如下约束关系
- 局部会话存在,全局会话一定存在
- 全局会话存在,局部会话不一定存在
- 全局会话销毁,局部会话必须销毁
你可以通过博客园、百度、csdn、淘宝等网站的登录过程加深对单点登录的理解,注意观察登录过程中的跳转url与参数
2、注销
单点登录自然也要单点注销,在一个子系统中注销,所有子系统的会话都将被销毁,用下面的图来说明
sso认证中心一直监听全局会话的状态,一旦全局会话销毁,监听器将通知所有注册系统执行注销操作
下面对上图简要说明
- 用户向系统1发起注销请求
- 系统1根据用户与系统1建立的会话id拿到令牌,向sso认证中心发起注销请求
- sso认证中心校验令牌有效,销毁全局会话,同时取出所有用此令牌注册的系统地址
- sso认证中心向所有注册系统发起注销请求
- 各注册系统接收sso认证中心的注销请求,销毁局部会话
- sso认证中心引导用户至登录页面
四、部署图
单点登录涉及sso认证中心与众子系统,子系统与sso认证中心需要通信以交换令牌、校验令牌及发起注销请求,因而子系统必须集成sso的客户端,sso认证中心则是sso服务端,整个单点登录过程实质是sso客户端与服务端通信的过程,用下图描述
sso认证中心与sso客户端通信方式有多种,这里以简单好用的httpClient为例,web service、rpc、restful api都可以
五、实现
只是简要介绍下基于java的实现过程,不提供完整源码,明白了原理,我相信你们可以自己实现。sso采用客户端/服务端架构,我们先看sso-client与sso-server要实现的功能(下面:sso认证中心=sso-server)
sso-client
- 拦截子系统未登录用户请求,跳转至sso认证中心
- 接收并存储sso认证中心发送的令牌
- 与sso-server通信,校验令牌的有效性
- 建立局部会话
- 拦截用户注销请求,向sso认证中心发送注销请求
- 接收sso认证中心发出的注销请求,销毁局部会话
sso-server
- 验证用户的登录信息
- 创建全局会话
- 创建授权令牌
- 与sso-client通信发送令牌
- 校验sso-client令牌有效性
- 系统注册
- 接收sso-client注销请求,注销所有会话
接下来,我们按照原理来一步步实现sso吧!
1、sso-client拦截未登录请求
java拦截请求的方式有servlet、filter、listener三种方式,我们采用filter。在sso-client中新建LoginFilter.java类并实现Filter接口,在doFilter()方法中加入对未登录用户的拦截
1 2 3 4 5 6 7 8 9 10 11 12 |
|
2、sso-server拦截未登录请求
拦截从sso-client跳转至sso认证中心的未登录请求,跳转至登录页面,这个过程与sso-client完全一样
3、sso-server验证用户登录信息
用户在登录页面输入用户名密码,请求登录,sso认证中心校验用户信息,校验成功,将会话状态标记为“已登录”
1 2 3 4 5 6 |
|
4、sso-server创建授权令牌
授权令牌是一串随机字符,以什么样的方式生成都没有关系,只要不重复、不易伪造即可,下面是一个例子
1 |
|
5、sso-client取得令牌并校验
sso认证中心登录后,跳转回子系统并附上令牌,子系统(sso-client)取得令牌,然后去sso认证中心校验,在LoginFilter.java的doFilter()中添加几行
1 2 3 4 5 6 7 8 9 10 11 |
|
verify()方法使用httpClient实现,这里仅简略介绍,httpClient详细使用方法请参考官方文档
1 2 |
|
6、sso-server接收并处理校验令牌请求
用户在sso认证中心登录成功后,sso-server创建授权令牌并存储该令牌,所以,sso-server对令牌的校验就是去查找这个令牌是否存在以及是否过期,令牌校验成功后sso-server将发送校验请求的系统注册到sso认证中心(就是存储起来的意思)
令牌与注册系统地址通常存储在key-value数据库(如redis)中,redis可以为key设置有效时间也就是令牌的有效期。redis运行在内存中,速度非常快,正好sso-server不需要持久化任何数据。
令牌与注册系统地址可以用下图描述的结构存储在redis中,可能你会问,为什么要存储这些系统的地址?如果不存储,注销的时候就麻烦了,用户向sso认证中心提交注销请求,sso认证中心注销全局会话,但不知道哪些系统用此全局会话建立了自己的局部会话,也不知道要向哪些子系统发送注销请求注销局部会话
7、sso-client校验令牌成功创建局部会话
令牌校验成功后,sso-client将当前局部会话标记为“已登录”,修改LoginFilter.java,添加几行
1 2 3 |
|
sso-client还需将当前会话id与令牌绑定,表示这个会话的登录状态与令牌相关,此关系可以用java的hashmap保存,保存的数据用来处理sso认证中心发来的注销请求
8、注销过程
用户向子系统发送带有“logout”参数的请求(注销请求),sso-client拦截器拦截该请求,向sso认证中心发起注销请求
1 2 3 4 |
|
sso认证中心也用同样的方式识别出sso-client的请求是注销请求(带有“logout”参数),sso认证中心注销全局会话
1 2 3 4 5 6 7 8 |
|
sso认证中心有一个全局会话的监听器,一旦全局会话注销,将通知所有注册系统注销
1 2 3 4 5 6 7 8 |
|
https://www.cnblogs.com/ywlaker/p/6113927.html