基于Session实现短信验证码登录流程

怼烎@ 2024-03-22 03:27 94阅读 0赞

#### 文章目录 ####

*   *  1 发送短信验证码与登录
     *  2 登录拦截功能
     *  3 隐藏用户敏感信息
     *  4 问题: 多台Tomcat的session共享问题

分析一下流程

**发送验证码：**

用户在提交手机号后，会校验手机号是否合法，如果不合法，则要求用户重新输入手机号

如果手机号合法，后台此时生成对应的验证码，同时将验证码进行保存，然后再通过短信的方式将验证码发送给用户

**短信验证码登录、注册：**

用户将验证码和手机号进行输入，后台从session中拿到当前验证码，然后和用户输入的验证码进行校验，如果不一致，则无法通过校验，如果一致，则后台根据手机号查询用户，如果用户不存在，则为用户创建账号信息，保存到数据库，无论是否存在，都会将用户信息保存到session中，方便后续获得当前登录信息

**校验登录状态:**

用户在请求时候，会从cookie中携带者`JsessionId`到后台，后台通过`JsessionId`从session中拿到用户信息，如果没有session信息，则进行拦截，如果有session信息，则将用户信息保存到`threadLocal`中，并且放行

画出流程图即

![14ad40b6c2a442c1aa4f332f264cfd19.png][]

### 1 发送短信验证码与登录 ###

![fa223c01d7a6466a8af58af3629f8b44.png][]  
具体逻辑上文已经分析，我们仅仅只需要按照提示的逻辑写出代码即可。

发送验证码

@Override
        public Result sendCode(String phone, HttpSession session) {
        
            // 1.校验手机号
            if (RegexUtils.isPhoneInvalid(phone)) {
        
                // 2.如果不符合，返回错误信息
                return Result.fail("手机号格式错误！");
            }
            // 3.符合，生成验证码
            String code = RandomUtil.randomNumbers(6);
    
            // 4.保存验证码到 session
            session.setAttribute("code",code);
            // 5.发送验证码
            log.debug("发送短信验证码成功，验证码：{}", code);
            // 返回ok
            return Result.ok();
        }

@Override
        public Result login(LoginFormDTO loginForm, HttpSession session) {
        
            // 1.校验手机号
            String phone = loginForm.getPhone();
            if (RegexUtils.isPhoneInvalid(phone)) {
        
                // 2.如果不符合，返回错误信息
                return Result.fail("手机号格式错误！");
            }
            // 3.校验验证码
            Object cacheCode = session.getAttribute("code");
            String code = loginForm.getCode();
            if(cacheCode == null || !cacheCode.toString().equals(code)){
        
                 //3.不一致，报错
                return Result.fail("验证码错误");
            }
            //一致，根据手机号查询用户
            User user = query().eq("phone", phone).one();
    
            //5.判断用户是否存在
            if(user == null){
        
                //不存在，则创建
                user =  createUserWithPhone(phone);
            }
            //7.保存用户信息到session中
            session.setAttribute("user",user);
    
            return Result.ok();
        }

### 2 登录拦截功能 ###

> 有些页面, 用户不登录不让查看, 怎么实现呢?

当用户发起请求时，会访问我们像tomcat注册的端口，任何程序想要运行，都需要有一个线程对当前端口号进行监听，tomcat也不例外，当监听线程知道用户想要和tomcat连接连接时，那会由监听线程创建socket连接，socket都是成对出现的，用户通过socket像互相传递数据，当tomcat端的socket接受到数据后，此时监听线程会从tomcat的线程池中取出一个线程执行用户请求，在我们的服务部署到tomcat后，线程会找到用户想要访问的工程，然后用这个线程转发到工程中的controller，service，dao中，并且访问对应的DB，在用户执行完请求后，再统一返回，再找到tomcat端的socket，再将数据写回到用户端的socket，完成请求和响应

通过以上讲解，我们可以得知 每个用户其实对应都是去找tomcat线程池中的一个线程来完成工作的， 使用完成后再进行回收，既然每个请求都是独立的，所以在每个用户去访问我们的工程时，我们可以使用`threadlocal`来做到线程隔离，每个线程操作自己的一份数据.  
![673114cec03f4893a7376d15ae02729b.png][]

如果小伙伴们看过[threadLocal][]的源码，你会发现在threadLocal中，无论是他的put方法和他的get方法， 都是先从获得当前用户的线程，然后从线程中取出线程的成员变量map，只要线程不一样，map就不一样，所以可以通过这种方式来做到线程隔离

我们通过拦截器来实现  
![d9f339910ae64d27b481a196485f5908.png][]

拦截器代码

public class LoginInterceptor implements HandlerInterceptor {
        
    
        @Override
        public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        
           //1.获取session
            HttpSession session = request.getSession();
            //2.获取session中的用户
            Object user = session.getAttribute("user");
            //3.判断用户是否存在
            if(user == null){
        
                  //4.不存在，拦截，返回401状态码
                  response.setStatus(401);
                  return false;
            }
            //5.存在，保存用户信息到Threadlocal
            UserHolder.saveUser((User)user);
            //6.放行
            return true;
        }
    }

让拦截器生效

@Configuration
    public class MvcConfig implements WebMvcConfigurer {
        
    
        @Resource
        private StringRedisTemplate stringRedisTemplate;
    
        @Override
        public void addInterceptors(InterceptorRegistry registry) {
        
            // 登录拦截器
            registry.addInterceptor(new LoginInterceptor())
                    .excludePathPatterns(
                            "/shop/**",
                            "/voucher/**",
                            "/shop-type/**",
                            "/upload/**",
                            "/blog/hot",
                            "/user/code",
                            "/user/login"
                    ).order(1);
            // token刷新的拦截器
            registry.addInterceptor(new RefreshTokenInterceptor(stringRedisTemplate)).addPathPatterns("/**").order(0);
        }
    }

### 3 隐藏用户敏感信息 ###

我们**通过浏览器观察到此时用户的全部信息都在**，这样极为不靠谱，所以我们应当在返回用户信息之前，将用户的敏感信息进行隐藏，采用的核心思路就是书写一个`UserDto`对象，这个`UserDto`对象就没有敏感信息了，我们在返回前，将有用户敏感信息的User对象转化成没有敏感信息的`UserDto`对象，那么就能够避免这个尴尬的问题了.

**在登录方法处修改**

//7.保存用户信息到session中
    session.setAttribute("user", BeanUtils.copyProperties(user,UserDTO.class));

**在拦截器处：**

//5.存在，保存用户信息到Threadlocal
    UserHolder.saveUser((UserDTO) user);

**在UserHolder处：将user对象换成UserDTO**

public class UserHolder {
        
        private static final ThreadLocal<UserDTO> tl = new ThreadLocal<>();
    
        public static void saveUser(UserDTO user){
        
            tl.set(user);
        }
    
        public static UserDTO getUser(){
        
            return tl.get();
        }
    
        public static void removeUser(){
        
            tl.remove();
        }
    }

### 4 问题: 多台Tomcat的session共享问题 ###

每个tomcat中都有一份属于自己的session,假设用户第一次访问第一台tomcat，并且把自己的信息存放到第一台服务器的session中，但是第二次这个用户访问到了第二台tomcat，那么在第二台服务器上，肯定没有第一台服务器存放的session，所以此时 整个登录拦截功能就会出现问题，我们能如何解决这个问题呢？早期的方案是session拷贝，就是说虽然每个tomcat上都有不同的session，但是每当任意一台服务器的session修改时，都会同步给其他的Tomcat服务器的session，这样的话，就可以实现session的共享了

但是这种方案具有两个大问题

1、每台服务器中都有完整的一份session数据，服务器压力过大。

2、session拷贝数据时，可能会出现延迟

所以咱们后来采用的方案都是基于redis来完成，我们把session换成redis，redis数据本身就是共享的，就可以避免session共享的问题了

![1653069893050][]

[14ad40b6c2a442c1aa4f332f264cfd19.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ab1d9784f97e4d01ab7b8283ef21a34a.png
[fa223c01d7a6466a8af58af3629f8b44.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/eaa7e98cb2bb44b68d30b0da57ae5948.png
[673114cec03f4893a7376d15ae02729b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e8114c859f0649f09269220860feebb6.png
[threadLocal]: https://zhuanlan.zhihu.com/p/192997550
[d9f339910ae64d27b481a196485f5908.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/08dda492d3104956aae2288550b7e0ce.png
[1653069893050]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/cba703aedadf495e93195226aefa6144.png