Shiro会话管理-蒲公英云

Shiro会话管理

小灰灰 2024-04-18 11:53 218阅读 0赞

注：该系列所有测试均在之前创建的Shiro3的Web工程的基础上。
下面我们来说一下Shiro里面的会话管理，这个“会话”与JavaWeb里面的HttpSession
是一致的，都是表示客户端与服务器的一次会话。

Shiro会话概述

Shiro 提供了完整的企业级会话管理功能，不依赖于底层容器（如web容器tomcat），不管 JavaSE 还是 JavaEE 环境都可以使用，提供了会话管理、会话事件监听、会话存储/ 持久化、容器无关的集群、失效/过期支持、对Web 的透明支持、SSO 单点登录的支持等特性。

会话相关的API

Subject.getSession()：即可获取会话；其等价于 Subject.getSession(true)，即如果当前没有创建 Session 对象会创建一个；Subject.getSession(false)，如果当前没有创建 Session 则返回 null 。
session.getId()：获取当前会话的唯一标识 • session.getHost()：获取当前Subject的主机地址。
session.getTimeout() & session.setTimeout(毫秒)：获取/设置当前Session的过期时间。
session.getStartTimestamp() & session.getLastAccessTime()： 获取会话的启动时间及最后访问时间；如果是 JavaSE 应用需要自己定期调用 session.touch() 去更新最后访问时间；如果是 Web 应用，每次进入 ShiroFilter 都会自动调用 session.touch() 来更新最后访问时间。
session.touch() & session.stop()：更新会话最后访问时间及销毁会话；当Subject.logout()时会自动调用 stop 方法来销毁会话。如果在web中，调用 HttpSession. invalidate() 也会自动调用Shiro Session.stop 方法进行销毁Shiro 的会话。
session.setAttribute(key, val) & session.getAttribute(key) & session.removeAttribute(key)：设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作。
session.getHost()：获取当前Subject的主机地址。
SessionListener会话监听器用于监听会话创建、过期以及停止事件：onStart(Session)、onStop(Session)、onExpiration(Session)分别监听了Session启动、销毁以及Session过期的时候。与HttpSessionListener很相似。

在Controller层，我们建议大家使用原生的HttpSession。那么Shiro的Session有什么意义呢？要知道，我们在传统的Web应用中，是无法在Service层获取Session会话的，也不建议这么做(应用会变成侵入式的)。但是现在有了Shrio的Session后，我们就可以在Service中使用会话。

下面我们测试一下，在之前的测试工程的ShiroLoginController中的为了测试权限注解的testShiroAnnocation方法参数中，添加传统会话HttpSession，并在Session中放置一个参数：

package com.test.shiro.controller;
import javax.servlet.http.HttpSession;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import com.test.shiro.services.ShiroService;
@Controller
@RequestMapping("userAuth")
public class ShiroLoginController {
    @Autowired
    private ShiroService shiroService;
    @RequestMapping("/testShiroAnnocation")
    private String testShiroAnnocation(HttpSession session){
    session.setAttribute("test", "Hello1234");
    shiroService.testMethod();
    return "redirect:/list.jsp";
    }
    //下面的其它代码省略
}

然后在shiroService的testMethod方法中通过Shiro的Session获取我们在Controller中设置的参数：

20171217142649471

然后我们重启Web测试项目，使用admin登录后，在主页访问“/testShiroAnnocation”服务：

20171217142657896

总结：
在Controller层我们使用的是HttpSession，而在Service层我们使用的是Shiro的Session，这样的话提供了一个好处，就是即便是在Service层，我们也可以访问到Session的数据。在开发中这个特性是很方便的，这也是Shiro的Session会话在开发中的一个重要作用。