对于最新的稳定版本,请使用 Spring Session 3.4.0spring-doc.cadn.net.cn

Spring Session - REST

本指南介绍了如何使用 Spring Session 透明地利用 Redis 来支持 Web 应用程序的HttpSession当您使用 REST 端点时。spring-doc.cadn.net.cn

您可以在 rest 示例应用程序中找到完整的指南。

更新依赖项

在使用 Spring Session 之前,您必须更新依赖项。 如果您使用 Maven,则必须添加以下依赖项:spring-doc.cadn.net.cn

pom.xml
<dependencies>
	<!-- ... -->

	<dependency>
		<groupId>org.springframework.session</groupId>
		<artifactId>spring-session-data-redis</artifactId>
		<version>3.3.3</version>
		<type>pom</type>
	</dependency>
	<dependency>
		<groupId>io.lettuce</groupId>
		<artifactId>lettuce-core</artifactId>
		<version>6.3.2.RELEASE</version>
	</dependency>
	<dependency>
		<groupId>org.springframework</groupId>
		<artifactId>spring-web</artifactId>
		<version>6.1.14</version>
	</dependency>
</dependencies>

Spring 配置

添加所需的依赖项后,我们可以创建 Spring 配置。 Spring 配置负责创建一个 servlet 过滤器,该过滤器将HttpSessionimplementation 替换为 Spring Session 支持的 implementation。 为此,请添加以下 Spring Configuration:spring-doc.cadn.net.cn

@Configuration
@EnableRedisHttpSession (1)
public class HttpSessionConfig {

	@Bean
	public LettuceConnectionFactory connectionFactory() {
		return new LettuceConnectionFactory(); (2)
	}

	@Bean
	public HttpSessionIdResolver httpSessionIdResolver() {
		return HeaderHttpSessionIdResolver.xAuthToken(); (3)
	}

}
1 @EnableRedisHttpSessionannotation 会创建一个名为springSessionRepositoryFilter实现Filter. 过滤器负责替换HttpSession实现,由 Spring Session 支持。 在这种情况下, Spring Session 由 Redis 提供支持。
2 我们创建一个RedisConnectionFactory将 Spring Session 连接到 Redis 服务器。 我们将连接配置为连接到默认端口 (6379) 上的 localhost。 有关配置 Spring Data Redis 的更多信息,请参阅参考文档
3 我们自定义 Spring Session 的 HttpSession 集成,以使用 HTTP 标头而不是 cookie 来传达当前会话信息。

Servlet 容器初始化

我们的 Spring 配置创建了一个名为springSessionRepositoryFilter实现Filter. 这springSessionRepositoryFilterbean 负责将HttpSession使用由 Spring Session 支持的自定义实现。spring-doc.cadn.net.cn

为了我们的Filter为了发挥它的魔力,Spring 需要加载我们的Config类。 我们在 Spring 中提供配置MvcInitializer,如下例所示:spring-doc.cadn.net.cn

来源/main/java/sample/mvc/MvcInitializer.java
@Override
protected Class<?>[] getRootConfigClasses() {
	return new Class[] { SecurityConfig.class, HttpSessionConfig.class };
}

最后,我们需要确保我们的 Servlet 容器(即 Tomcat)使用我们的springSessionRepositoryFilter对于每个请求。 幸运的是,Spring Session 提供了一个名为AbstractHttpSessionApplicationInitializer这使得这样做变得容易。为此,请使用 default 构造函数扩展类,如下例所示:spring-doc.cadn.net.cn

来源/main/java/sample/Initializer.java
public class Initializer extends AbstractHttpSessionApplicationInitializer {

}
我们类的名称 (Initializer) 无关紧要。重要的是,我们扩展AbstractHttpSessionApplicationInitializer.

rest示例应用程序

本节介绍如何使用rest示例应用程序。spring-doc.cadn.net.cn

运行rest示例应用程序

您可以通过获取源码并调用以下命令来运行该示例:spring-doc.cadn.net.cn

要使该示例正常工作,您必须在 localhost 上安装 Redis 2.8+,并使用默认端口 (6379) 运行它。 或者,您也可以更新RedisConnectionFactory以指向 Redis 服务器。 另一种选择是使用 Docker 在本地主机上运行 Redis。 有关详细说明,请参阅 Docker Redis 存储库
$ ./gradlew :spring-session-sample-javaconfig-rest:tomcatRun

您现在应该能够访问 localhost:8080/ 中的应用程序spring-doc.cadn.net.cn

探索rest示例应用程序

您现在可以尝试使用该应用程序。为此,请使用您最喜欢的 REST 客户端请求 localhost:8080/spring-doc.cadn.net.cn

	$ curl -v http://localhost:8080/

请注意,系统会提示您进行基本身份验证。为用户名和密码提供以下信息:spring-doc.cadn.net.cn

然后运行以下命令:spring-doc.cadn.net.cn

$ curl -v http://localhost:8080/ -u user:password

在输出中,您应该注意到以下内容:spring-doc.cadn.net.cn

HTTP/1.1 200 OK
...
X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3

{"username":"user"}

具体而言,您应该注意有关我们的响应的以下事项:spring-doc.cadn.net.cn

我们现在可以使用X-Auth-Token进行其他请求,而无需再次提供用户名和密码。例如,以下命令输出 username,如前所述:spring-doc.cadn.net.cn

	$ curl -v http://localhost:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"

唯一的区别是,响应标头中未提供会话 ID,因为我们正在重用现有会话。spring-doc.cadn.net.cn

如果使会话无效,则X-Auth-Token在响应中显示为空值。例如,以下命令使我们的会话无效:spring-doc.cadn.net.cn

	$ curl -v http://localhost:8080/logout -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"

您可以在输出中看到X-Auth-Token提供空的String指示上一个会话已失效:spring-doc.cadn.net.cn

HTTP/1.1 204 No Content
...
X-Auth-Token:

它是如何工作的?

Spring Security 与标准HttpSessionSecurityContextPersistenceFilter.spring-doc.cadn.net.cn

而不是使用 Tomcat 的HttpSession,Spring Security 现在将值保存在 Redis 中。 Spring Session 会创建一个名为X-Auth-Token在浏览器中。 该标头包含会话的 ID。spring-doc.cadn.net.cn

如果您愿意,可以很容易地看到会话是在 Redis 中创建的。 为此,请使用以下命令创建会话:spring-doc.cadn.net.cn

$ curl -v http://localhost:8080/ -u user:password

在输出中,您应该注意到以下内容:spring-doc.cadn.net.cn

HTTP/1.1 200 OK
...
X-Auth-Token: 7e8383a4-082c-4ffe-a4bc-c40fd3363c5e

{"username":"user"}

现在,您可以使用 redis-cli 删除会话。 例如,在基于 Linux 的系统上,您可以键入:spring-doc.cadn.net.cn

	$ redis-cli keys '*' | xargs redis-cli del
Redis 文档包含安装 redis-cli 的说明。

或者,您也可以删除显式密钥。 为此,请在您的终端中输入以下内容,并确保将7e8383a4-082c-4ffe-a4bc-c40fd3363c5e与您的SESSION饼干:spring-doc.cadn.net.cn

	$ redis-cli del spring:session:sessions:7e8383a4-082c-4ffe-a4bc-c40fd3363c5e

我们现在可以使用X-Auth-Token使用我们删除的会话发出另一个请求,并观察系统提示进行身份验证的 we。例如,以下返回 HTTP 401:spring-doc.cadn.net.cn

	$ curl -v http://localhost:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"

APP信息