2. 程式人生 > >shiro的session的查詢、重新整理、過期與刪除，你值得擁有

shiro的session的查詢、重新整理、過期與刪除，你值得擁有

阿新 • • 發佈：2018-12-16

前言

　　開心一刻　　

　　　　老公酷愛網路遊戲，老婆無奈，只得告誡他：你玩就玩了，但是千萬不可以在遊戲裡找老婆，不然，哼哼。。。　　　　老公嘴角露出了微笑：放心吧親愛的，我絕對不會在遊戲裡找老婆的！因為我有老公！　　　　老婆：......

　　路漫漫其修遠兮，吾將上下而求索！

前情回顧

　　大家還記得上篇博文講了什麼嗎，我們來一起簡單回顧下：

　　　　SecurityManager是shiro的核心，負責與shiro的其他元件進行互動；SessionManager是session的真正管理者，負責shiro的session管理；

　　　　SessionsSecurityManager的start方法中將session的建立委託給了具體的sessionManager，是建立session的關鍵入口。

　　　　SimpleSession是shiro完完全全的自己實現，是shiro對session的一種拓展；實現了ValidatingSession介面，具有自我校驗的功能；一般不對外暴露，暴露的往往是他的代理：DelegatingSession；SimpleSession有幾個屬性值得重點關注下，如下

　　　　　　　　id：就是session id；

　　　　　　　　startTimestamp：session的建立時間；

　　　　　　　　stopTimestamp：session的失效時間；

　　　　　　　　lastAccessTime：session的最近一次訪問時間，初始值是startTimestamp

　　　　　　　　timeout：session的有效時長，預設30分鐘

　　　　　　　　expired：session是否到期

　　　　　　　　attributes：session的屬性容器

查詢

　　session的建立完成後，會將session（SimpleSession型別）物件的代理物件（DelegatingSession）裝飾成StoppingAwareProxiedSession物件，然後繫結到subject（型別是DelegatingSubject）；

　　Session session = subject.getSession();返回的就是繫結在當前subjuct的session。注意subject的實際型別是：DelegatingSubject，如下圖

重新整理

　　shiro的Session介面提供了一個touch方法，負責session的重新整理；session的代理物件最終會呼叫SimpleSession的touch()：

public void touch() {
    this.lastAccessTime = new Date();        // 更新最後被訪問時間為當前時間
}

　　但是touch方法是什麼時候被呼叫的呢？JavaSE需要我們自己定期的呼叫session的touch() 去更新最後訪問時間；如果是Web應用，每次進入ShiroFilter都會自動呼叫session.touch()來更新最後訪問時間，ShiroFilter的類圖如下：

　　ShiroFilter自動呼叫session.touch()如下

過期

　　如果是讓我們自己實現session過期的判斷，我們會怎麼做了？我們來看看shiro是怎麼做的，或許我們能夠從中學到一些經驗。

　　啟動校驗定時任務

　　　　還記得AbstractValidatingSessionManager中createSession方法嗎？在呼叫doCreateSession方法之前呼叫enableSessionValidationIfNecessary()，enableSessionValidationIfNecessary程式碼如下

private void enableSessionValidationIfNecessary() {
    // 獲取session驗證排程器
    SessionValidationScheduler scheduler = getSessionValidationScheduler();
    // session驗證排程器開啟 && (排程器為空或排程器不可用)
    if (isSessionValidationSchedulerEnabled() && (scheduler == null || !scheduler.isEnabled())) {
        enableSessionValidation();        // 開啟session驗證
    }
}
View Code

　　　　第一次建立session的時候，如果session驗證排程器啟用（預設是啟用），那麼呼叫enableSessionValidation()，enableSessionValidation程式碼如下

protected synchronized void enableSessionValidation() {
    SessionValidationScheduler scheduler = getSessionValidationScheduler();        // 獲取調取器
    if (scheduler == null) {
        scheduler = createSessionValidationScheduler();                            // 建立調取器，實際型別是ExecutorServiceSessionValidationScheduler
        setSessionValidationScheduler(scheduler);                                // 將排程器繫結到sessionManager
    }
    // it is possible that that a scheduler was already created and set via 'setSessionValidationScheduler()'
    // but would not have been enabled/started yet
    if (!scheduler.isEnabled()) {
        if (log.isInfoEnabled()) {
            log.info("Enabling session validation scheduler...");
        }
        scheduler.enableSessionValidation();                                    // 啟動定時任務，驗證session
        afterSessionValidationEnabled();                                        // 什麼也沒做，供繼承，便於拓展
    }
}
View Code

　　　　ExecutorServiceSessionValidationScheduler類圖如下，它實現了Runnable介面

　　呼叫scheduler的enableSessionValidation()，enableSessionValidation方法如下

public void enableSessionValidation() {
    if (this.interval > 0l) {
        // 建立ScheduledExecutorService
        this.service = Executors.newSingleThreadScheduledExecutor(new ThreadFactory() {  
            private final AtomicInteger count = new AtomicInteger(1);

            public Thread newThread(Runnable r) {  
                Thread thread = new Thread(r);  
                thread.setDaemon(true);  
                thread.setName(threadNamePrefix + count.getAndIncrement());
                return thread;  
            }  
        });
        //  初始化service interval時長之後開始執行this的run方法，每隔interval執行一次；注意interval的單位是TimeUnit.MILLISECONDS
        this.service.scheduleAtFixedRate(this, interval, interval, TimeUnit.MILLISECONDS);    // this就是ExecutorServiceSessionValidationScheduler自己
    }
    this.enabled = true;
}
View Code

　　session校驗 

　　定時（預設每隔60分鐘）的呼叫ExecutorServiceSessionValidationScheduler的run方法，run方法中呼叫sessionManager的validateSessions方法來完成session的驗證，validateSessions方法如下

/**
 * @see ValidatingSessionManager#validateSessions()
 */
public void validateSessions() {
    if (log.isInfoEnabled()) {
        log.info("Validating all active sessions...");
    }

    int invalidCount = 0;

    // 從sessionDao中獲取全部的session
    // sessionDao可以是預設的MemorySessionDAO，也可以是我們定製的CachingSessionDAO
    Collection<Session> activeSessions = getActiveSessions();

    if (activeSessions != null && !activeSessions.isEmpty()) {
        // 一個一個校驗
        for (Session s : activeSessions) {
            try {
                //simulate a lookup key to satisfy the method signature.
                //this could probably stand to be cleaned up in future versions:
                SessionKey key = new DefaultSessionKey(s.getId());
                validate(s, key);        // 真正校驗的方法
            } catch (InvalidSessionException e) {
                if (log.isDebugEnabled()) {
                    boolean expired = (e instanceof ExpiredSessionException);
                    String msg = "Invalidated session with id [" + s.getId() + "]" +
                            (expired ? " (expired)" : " (stopped)");
                    log.debug(msg);
                }
                invalidCount++;            // 統計上次到這次定時任務間隔內過期的session個數
            }
        }
    }

    if (log.isInfoEnabled()) {
        String msg = "Finished session validation.";
        if (invalidCount > 0) {
            msg += "  [" + invalidCount + "] sessions were stopped.";
        } else {
            msg += "  No sessions were stopped.";
        }
        log.info(msg);
    }
}
View Code

　　validate方法如下

protected void validate(Session session, SessionKey key) throws InvalidSessionException {
    try {
        doValidate(session);                    // 真正校驗session
    } catch (ExpiredSessionException ese) {
        onExpiration(session, ese, key);        // 從sessionDao中刪除過期的session
        throw ese;                                // 丟擲異常供上層統計用
    } catch (InvalidSessionException ise) {
        onInvalidation(session, ise, key);        // 從sessionDao中刪除不合法的session
        throw ise;                                // 丟擲異常供上層統計用
    }
}
View Code

　　通過捕獲doValidate()丟擲的異常來剔除過期的或不合法的session，並將異常接著往上拋，供上層統計過期數量。注意：ExpiredSessionException的父類是StoppedSessionException，而StoppedSessionException的父類是InvalidSessionException。

　　doValidate方法如下

protected void doValidate(Session session) throws InvalidSessionException {
    if (session instanceof ValidatingSession) {
        ((ValidatingSession) session).validate();        // 校驗session是否過期
    } else {                                            // 若session不是ValidatingSession型別，則丟擲IllegalStateException異常
        String msg = "The " + getClass().getName() + " implementation only supports validating " +
                "Session implementations of the " + ValidatingSession.class.getName() + " interface.  " +
                "Please either implement this interface in your session implementation or override the " +
                AbstractValidatingSessionManager.class.getName() + ".doValidate(Session) method to perform validation.";
        throw new IllegalStateException(msg);
    }
}
View Code

　　　　若session不是ValidatingSession型別，則丟擲IllegalStateException異常

　　validate方法如下

public void validate() throws InvalidSessionException {
    //check for stopped:
    if (isStopped()) {                    
    // sesson已經停止了，則丟擲StoppedSessionException；理論上來講不會出現這種情況，但程式的事沒有100%保障
        //timestamp is set, so the session is considered stopped:
        String msg = "Session with id [" + getId() + "] has been " +
                "explicitly stopped.  No further interaction under this session is " +
                "allowed.";
        throw new StoppedSessionException(msg);
    }

    //check for expiration
    if (isTimedOut()) {     // 校驗是否過期，校驗方法是：lastAccessTime是否小於(當前時間 - session有效時長)
        expire();            // 更新session的stopTimestamp為當前時間，session的expired為true

        //throw an exception explaining details of why it expired:
        Date lastAccessTime = getLastAccessTime();
        long timeout = getTimeout();

        Serializable sessionId = getId();

        DateFormat df = DateFormat.getInstance();
        String msg = "Session with id [" + sessionId + "] has expired. " +
                "Last access time: " + df.format(lastAccessTime) +
                ".  Current time: " + df.format(new Date()) +
                ".  Session timeout is set to " + timeout / MILLIS_PER_SECOND + " seconds (" +
                timeout / MILLIS_PER_MINUTE + " minutes)";
        if (log.isTraceEnabled()) {
            log.trace(msg);
        }
        throw new ExpiredSessionException(msg);    // 丟擲ExpiredSessionException供上層使用
    }
}
View Code

　　校驗總結

　　　　1、sesion的有效時長預設30分鐘；定時任務預設是每60分鐘執行一次，第一次執行是在定時器初始化完成60分鐘後執行；

　　　　2、session不是ValidatingSession型別，則丟擲IllegalStateException異常；session已經停止了則丟擲StoppedSessionException；session過期則丟擲ExpiredSessionException異常；理論上來講IllegalStateException與StoppedSessionException不會被丟擲，應該全是ExpiredSessionException異常；ExpiredSessionException繼承自StoppedSessionException，而StoppedSessionException又繼承自IllegalStateException；

　　　　3、校驗session的時候，丟擲了異常，將其捕獲，從sessionDao中刪除對應的session，並使過期數量自增1

刪除

　　夾雜在過期定時任務中，與過期是同時進行的，利用的異常機制；當然session操作的時候sessionManager也有session的校驗，伴隨著就有session的刪除。

疑問

　　定時任務預設每60分鐘執行一次，而session有效時長預設是30分鐘，那麼定時任務執行的間隔內肯定有session過期了，而我們在這個間隔內操作了過期的session怎麼辦？

　　其實這個問題應該這麼來問：在定時任務間隔期間，對session的操作有沒有做校驗處理？答案是肯定的。

　　通過上面的講解我們知道：session的操作通過代理之後，都會來到sessionManager，sessionManager通過處理之後再到SimpleSession；AbstractNativeSessionManager中將session操作放給SimpleSession之前，都會呼叫lookupSession方法，跟進lookupSession你會發現，裡面也有session的校驗。

　　所以session的校驗，不只是定製任務在執行，很多session的操作都有做session的校驗。

總結

　　1、一般我們操作subject是DelegatingSubject型別，DelegatingSubject中將subject的操作委託給了securityManager；一般操作的session是session的代理，代理將session操作委託給sessionManager，sesionManager校驗之後再轉交給SimpleSession；

　　2、session過期定時任務預設60分鐘執行一次，所session已過期或不合法，則丟擲對應的異常，上層通過捕獲異常從sessionDao中刪除session

　　3、不只定時任務做session的校驗，session的基本操作都在sessionManager中有做session的校驗

參考

　　《跟我學shiro》

相關推薦

shiro原始碼篇 - shiro的session的查詢、重新整理、過期與刪除，你值得擁有

前言 　　開心一刻　　 　　　　老公酷愛網路遊戲，老婆無奈，只得告誡他：你玩就玩了，但是千萬不可以在遊戲裡找老婆，不然，哼哼。。。　　　　老公嘴角露出了微笑：放心吧親愛的，我絕對不會在遊戲裡找老婆的！因為我有老公！　　　　老婆：...... 　　路漫漫其修遠兮，吾將上下而求索！ 　　

shiro的session的查詢、重新整理、過期與刪除，你值得擁有

前言 　　開心一刻　　 　　　　老公酷愛網路遊戲，老婆無奈，只得告誡他：你玩就玩了，但是千萬不可以在遊戲裡找老婆，不然，哼哼。。。　　　　老公嘴角露出了微笑：放心吧親愛的，我絕對不會在遊戲裡找老婆的！因為我有老公！　　　　老婆：...... 　　路漫漫其修遠兮，吾將上下而求索！ 前情回顧 　

shiro原始碼篇 - shiro認證與授權，你值得擁有

前言 　　開心一刻　 　　　　我和兒子有個共同的心願，出國旅遊。昨天兒子考試得了全班第一，我跟媳婦合計著帶他出國見見世面，吃晚飯的時候，一家人開始了討論這個。我：“兒子，你的心願是什麼？”，兒子：“吃漢堡包”，我：“往大了說”，兒子：“變形金剛”，我：“今天你爹說了算，想想咱倆共同的心願”，兒子怯生生的瞅

shiro源碼篇 - shiro認證與授權，你值得擁有

erb filters obj ash 三種 isl cit constant 用戶 前言 　　開心一刻　 　　　　我和兒子有個共同的心願，出國旅遊。昨天兒子考試得了全班第一，我跟媳婦合計著帶他出國見見世面，吃晚飯的時候，一家人開始了討論這個。我：“兒子，你

最簡單、最省錢、最有效、最優雅的 Win 7、 Win 10 重灌系統指南，你值得擁有！

轉自：https://mp.weixin.qq.com/s? 01 什麼情況下需要重灌系統   這個問題真想交給你們自己來回答，一定有超多槽點噠~！重灌系統的原因有很多，S姐總結一下，大概有這麼幾個原因：   ① 升級更換系統，比如 XP 升到 Win 7

完美解決Python與anaconda之間的沖突問題，你值得擁有

問題解決 存在 flask 安裝 -- 用兩個 ima 環境 -a 轉載： https://blog.csdn.net/sinat_41898105/article/details/80660332 anaconda指的是一個開源的Python發行版本，其包含了cond

ML 學習總結 完美解決Python與anaconda之間的衝突問題，你值得擁有

1. 環境準備 1.1 安裝 Python 3.x 以及 Pycharm     Notes：或者可以不裝，直接執行下面的 1.2.   1.2  安裝 Anaconda3 (Python 3.x 版本)    &n

ACL許可權-檢視、設定、最大有效許可權mask、遞迴ACL許可權、預設ACL許可權與刪除

設定ACL許可權的命令[[email protected]~]#setfacl 選項 檔名選項：-m   設定ACL許可權-x   刪除指定的ACL許可權-b   刪除所有的ACL許可權-d   設定預設ACL許可權-k   刪除預設ACL許可權-R   遞迴設定ACL許可權格式：setfacl -

jqgrid建立、重新整理、銷燬表格

記錄使用jqGrid操作表格的相關方法，方便查詢。。。 建立表格： //設定功能選項 var option={ data:data, datatype:"local", height:300, colNames:colNames, colModel

Python3 Selenium WebDriver網頁的前進、後退、重新整理、最大化、獲取視窗位置、設定視窗大小、獲取頁面title、獲取網頁原始碼、獲取Url等基本操作

Python3 Selenium WebDriver網頁的前進、後退、重新整理、最大化、獲取視窗位置、設定視窗大小、獲取頁面title、獲取網頁原始碼、獲取Url等基本操作 通過selenium webdriver操作網頁前進、後退、重新整理、最大化、獲取視窗位置、設定視窗大小、獲取頁面title、獲取網頁

Axios 網路請求元件封裝 (鑑權、重新整理、攔截)

一、前言 注意：本教程需要你對axios有一定的瞭解，不適用於小白（只能借鑑，希望你能自己動手），註釋都寫的很清楚。此封裝並非完整版，已進行部分刪減修改操作，但仍然適用於大部分業務場景，如果不適用於你專案的特定業務場景，請自行修改。 Axios 是一個基於 promise 

Set、List、Map的區別與聯絡，及面試重點問題

Set、List、Map的區別 List 1.可以允許重複的物件。 2.可以插入多個null元素。 3.是一個有序容器，保持了每個元素的插入順序，輸出的順序就是插入的順序。 4.常用的實現類有 ArrayList、LinkedList

Android WebView載入網頁，實現前進、後退、重新整理、超連結

你也可以檢視我的其他同類文章，也會讓你有一定的收貨！ 先在要顯示網頁的佈局檔案中宣告WebView 在Activity中例項化WebView 呼叫WebView的loadUrl( )方法，設定WevView要顯示的網頁 為了讓WebView能夠響應超連結

支付寶賬單分組、重新整理、載入更多效果實現

          專案中賬單需要做二期優化，支付軟體嘛當然向支付寶看齊了。。分析了下支付的實現，github了一圈最後回到程式碼中，merge了兩個哥們的開源專案【開源就是好】。。 我主要分析一下整個merge的程式碼：    1：定義我們下拉重新整理和上拉載入的類【兩個

html（object）控制ie的列印、重新整理、另存、關閉、開啟、頁面設定、屬性、列印預覽

 <OBJECT classid=CLSID:8856F961-340A-11D0-A96B-00C04FD705A2 height=0 id=WebBrowser width=0></OBJECT> <input name=Button onC

關於容器遷移、運維、查錯與監控，你想知道的都在這裡了

作者 | 邱戈川（了哥）  阿里雲智慧雲原生應用平臺部高階技術專家 本文根據雲棲大會全面上雲專場演講內容整理，關注阿里巴巴雲原生公眾號，回覆“遷移”獲得本文 PPT 今天上午王堅博士講了一句話我比較有感觸，大家做系統的時候，一定要想下你的系統的資料是怎麼流轉，這些系統的資料是

這麼香的日誌動態級別與輸出，你確定不進來看看？——生產環境動態輸入日誌級別、檔案

本文是一個系列，歡迎關注更新 本文全篇高能，請做好心理準備後再食用，讀完請記得點贊。 前言 上一篇我們討論了日誌的效能以及日誌的優缺點，有朋友說我沒有乾貨，痛定思痛，決定來一篇乾貨，讓小夥伴們見識一下員外真正的實力

006 使用SpringMVC開發restful API四--用戶信息的修復與刪除，重在註解的定義

自定義返回 ble work utf 一個 提示信息 groups java str 一：任務 1.任務 　　常用的驗證註解 　　自定義返回消息 　　自定義校驗註解 二：Hibernate Validator 1.常見的校驗註解 　　 　　 2.程序 　　測試類

現在有T1、T2、T3三個執行緒，你怎樣保證T2在T1執行完後執行，T3在T2執行完後執行

這是個基礎的執行緒問題，主要是考核join方法的。不瞭解這個方法的話會感覺很懵逼。 假設現在有兩個執行緒A、B。如果在A的run方法中呼叫B.join()，表示A需要在B執行緒上面等待，也就是需要在B執行緒執行完成之後才能再次執行。瞭解這個概念之後，這個問題就很簡單了，java程式碼如下：

區塊鏈、比特幣、以太坊和ICO，你真的懂了麼？

區塊鏈毫無疑問是今年最火的概念，朋友圈裡區塊鏈、比特幣、以太坊和ICO，各種名詞每天刷屏， 但你真的明白這些名詞的意義麼？ 區塊鏈 技術角度來說，區塊鏈是一種由多方共同維護，以塊鏈結構儲存資料，使用密碼學保證傳輸和訪問安全，能夠實現資料一致