跳到主要内容
版本：4.1.1

Spring Session - REST

Doubao 中英对照 Spring Session - REST

本指南描述在使用 REST 端点时，如何使用 Spring Session 透明地利用 Redis 来支撑 Web 应用程序的 HttpSession。

备注

你可以在 rest 示例应用程序 中找到完整的指南。

更新依赖​

在使用 Spring Session 之前，你必须更新依赖。如果你使用 Maven，你必须添加以下依赖：

<dependencies>
	<!-- ... -->

	<dependency>
		<groupId>org.springframework.session</groupId>
		<artifactId>spring-session-data-redis</artifactId>
		<version>4.1.1</version>
		<type>pom</type>
	</dependency>
	<dependency>
		<groupId>io.lettuce</groupId>
		<artifactId>lettuce-core</artifactId>
		<version>6.8.2.RELEASE</version>
	</dependency>
	<dependency>
		<groupId>org.springframework</groupId>
		<artifactId>spring-web</artifactId>
		<version>7.0.9</version>
	</dependency>
</dependencies>

Spring 配置​

添加所需依赖后，我们可以创建 Spring 配置。Spring 配置负责创建一个 servlet 过滤器，用由 Spring Session 支撑的实现替换 HttpSession 实现。为此，添加以下 Spring 配置：

@Configuration
@EnableRedisHttpSession 1
public class HttpSessionConfig {

	@Bean
	public LettuceConnectionFactory connectionFactory() {
		return new LettuceConnectionFactory(); 2
	}

	@Bean
	public HttpSessionIdResolver httpSessionIdResolver() {
		return HeaderHttpSessionIdResolver.xAuthToken(); 3
	}

}

  • @EnableRedisHttpSession 注解创建一个名为 springSessionRepositoryFilter、实现 Filter 的 Spring bean。该过滤器负责将 HttpSession 实现替换为由 Spring Session 支撑。在本例中，Spring Session 由 Redis 支撑。

  • 我们创建一个 RedisConnectionFactory，将 Spring Session 连接到 Redis 服务器。我们将连接配置为连接到 localhost 的默认端口（6379）。有关配置 Spring Data Redis 的更多信息，请参阅参考文档。

  • 我们自定义 Spring Session 的 HttpSession 集成，使用 HTTP 头来传递当前会话信息，而不是使用 cookie。

Servlet 容器初始化​

我们的 Spring 配置 创建了一个名为 springSessionRepositoryFilter、实现 Filter 的 Spring Bean。springSessionRepositoryFilter bean 负责将 HttpSession 替换为由 Spring Session 支撑的自定义实现。

为了让我们的 Filter 发挥作用，Spring 需要加载我们的 Config 类。我们在 Spring MvcInitializer 中提供配置，如以下示例所示：

@Override
protected Class<?>[] getRootConfigClasses() {
	return new Class[] { SecurityConfig.class, HttpSessionConfig.class };
}

最后，我们需要确保 Servlet 容器（即 Tomcat）对每个请求都使用我们的 springSessionRepositoryFilter。幸运的是，Spring Session 提供了一个名为 AbstractHttpSessionApplicationInitializer 的实用类，使这样做变得容易。为此，使用默认构造函数扩展该类，如以下示例所示：

public class Initializer extends AbstractHttpSessionApplicationInitializer {

}
备注

我们类的名称（Initializer）并不重要。重要的是我们扩展了 AbstractHttpSessionApplicationInitializer。

rest 示例应用程序​

本节描述如何使用 rest 示例应用程序。

运行 rest 示例应用程序​

你可以通过获取源代码并运行以下命令来启动示例：

备注

要使示例正常工作，你必须在 localhost 上安装 Redis 2.8+ 并以默认端口（6379）运行。或者，你可以更新 RedisConnectionFactory 以指向 Redis 服务器。另一个选择是使用 Docker 在 localhost 上运行 Redis。详细说明请参阅 Docker Redis 仓库。

$ ./gradlew :spring-session-sample-javaconfig-rest:tomcatRun

现在你应该可以通过 localhost:8080/ 访问该应用程序了。

探索 rest 示例应用程序​

现在你可以尝试使用该应用程序。为此，使用你喜欢的 REST 客户端请求 localhost:8080/。

$ curl -v http://localhost:8080/

注意系统会提示你进行基本认证。在用户名和密码中提供以下信息：

  • 用户名 user
  • 密码 password

然后运行以下命令：

$ curl -v http://localhost:8080/ -u user:password

在输出中，你应该注意到以下内容：

HTTP/1.1 200 OK
...
X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3

{"username":"user"}

具体来说，你应该注意到关于我们响应的以下几点：

  • HTTP 状态现在是 200。
  • 我们有一个名为 X-Auth-Token 的头，其中包含一个新的会话 ID。
  • 显示了当前用户名。

现在我们可以使用 X-Auth-Token 再次发出请求，而无需再次提供用户名和密码。例如，以下命令像之前一样输出用户名：

$ curl -v http://localhost:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"

唯一的区别是响应头中没有提供会话 ID，因为我们正在复用一个已存在的会话。

如果我们使会话失效，响应中显示的 X-Auth-Token 值为空。例如，以下命令使我们的会话失效：

$ curl -v http://localhost:8080/logout -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"

你可以在输出中看到 X-Auth-Token 提供了一个空 String，表示先前的会话已失效：

HTTP/1.1 204 No Content
...
X-Auth-Token:

它是如何工作的？​

Spring Security 在 SecurityContextPersistenceFilter 中与标准 HttpSession 交互。

我们没有使用 Tomcat 的 HttpSession，Spring Security 现在将值持久化到 Redis 中。Spring Session 会在你的浏览器中创建一个名为 X-Auth-Token 的头。该头包含你会话的 ID。

如果你愿意，你可以很容易地看到会话在 Redis 中被创建。为此，使用以下命令创建一个会话：

$ curl -v http://localhost:8080/ -u user:password

在输出中，你应该注意到以下内容：

HTTP/1.1 200 OK
...
X-Auth-Token: 7e8383a4-082c-4ffe-a4bc-c40fd3363c5e

{"username":"user"}

现在你可以使用 redis-cli 移除会话。例如，在基于 Linux 的系统上，你可以输入：

$ redis-cli keys '*' | xargs redis-cli del
提示

Redis 文档中有安装 redis-cli 的说明。

或者，你也可以删除显式键。为此，在终端中输入以下内容，并确保将 7e8383a4-082c-4ffe-a4bc-c40fd3363c5e 替换为你的 SESSION cookie 的值：

$ redis-cli del spring:session:sessions:7e8383a4-082c-4ffe-a4bc-c40fd3363c5e

现在我们可以使用 X-Auth-Token 对我们已删除的会话再次发出请求，并观察到系统提示我们进行认证。例如，以下命令返回 HTTP 401：

$ curl -v http://localhost:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"