Spring Session - REST
本指南介紹瞭如何使用 Spring Session 透明地利用 Redis 作為 Web 應用程式 HttpSession 的後端，尤其是在使用 REST 端點時。
| 你可以在 rest 示例應用程式 中找到完整的指南。 |
更新依賴項
在使用 Spring Session 之前，必須更新你的依賴項。如果你使用 Maven，則必須新增以下依賴項
<dependencies>
<!-- ... -->
<dependency>
<groupId>org.springframework.session</groupId>
<artifactId>spring-session-data-redis</artifactId>
<version>3.5.3</version>
<type>pom</type>
</dependency>
<dependency>
<groupId>io.lettuce</groupId>
<artifactId>lettuce-core</artifactId>
<version>6.5.5.RELEASE</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-web</artifactId>
<version>6.2.12</version>
</dependency>
</dependencies>Spring 配置
新增所需的依賴項後，我們可以建立 Spring 配置。Spring 配置負責建立一個 Servlet 過濾器，該過濾器用 Spring Session 支援的實現替換 HttpSession 實現。為此，請新增以下 Spring 配置
@Configuration
@EnableRedisHttpSession (1)
public class HttpSessionConfig {
@Bean
public LettuceConnectionFactory connectionFactory() {
return new LettuceConnectionFactory(); (2)
}
@Bean
public HttpSessionIdResolver httpSessionIdResolver() {
return HeaderHttpSessionIdResolver.xAuthToken(); (3)
}
}| 1 | @EnableRedisHttpSession 註解建立一個名為 springSessionRepositoryFilter 的 Spring bean，該 bean 實現了 Filter。該過濾器負責替換 HttpSession 實現以由 Spring Session 支援。在此示例中，Spring Session 由 Redis 支援。 |
| 2 | 我們建立一個 RedisConnectionFactory，它將 Spring Session 連線到 Redis 伺服器。我們將連線配置為連線到預設埠 (6379) 上的 localhost。有關配置 Spring Data Redis 的更多資訊，請參閱 參考文件。 |
| 3 | 我們自定義 Spring Session 的 HttpSession 整合，以使用 HTTP 頭部而不是 Cookie 來傳遞當前會話資訊。 |
Servlet 容器初始化
我們的 Spring 配置 建立了一個名為 springSessionRepositoryFilter 的 Spring Bean，該 Bean 實現了 Filter。springSessionRepositoryFilter Bean 負責用 Spring Session 支援的自定義實現替換 HttpSession。
為了讓我們的 Filter 發揮作用，Spring 需要載入我們的 Config 類。我們在 Spring MvcInitializer 中提供配置，如以下示例所示
@Override
protected Class<?>[] getRootConfigClasses() {
return new Class[] { SecurityConfig.class, HttpSessionConfig.class };
}最後，我們需要確保我們的 Servlet 容器（即 Tomcat）為每個請求使用我們的 springSessionRepositoryFilter。幸運的是，Spring Session 提供了一個名為 AbstractHttpSessionApplicationInitializer 的實用程式類，它使操作變得簡單。為此，請使用預設建構函式擴充套件該類，如以下示例所示
public class Initializer extends AbstractHttpSessionApplicationInitializer {
}我們類的名稱 (Initializer) 無關緊要。重要的是我們擴充套件了 AbstractHttpSessionApplicationInitializer。 |
rest 示例應用程式
本節介紹瞭如何使用 rest 示例應用程式。
執行 rest 示例應用程式
您可以透過獲取原始碼並呼叫以下命令來執行示例：
要使示例正常工作，您必須在本地主機上安裝 Redis 2.8+ 並以預設埠（6379）執行它。或者，您可以更新 RedisConnectionFactory 以指向 Redis 伺服器。另一種選擇是使用 Docker 在本地主機上執行 Redis。有關詳細說明，請參閱Docker Redis 儲存庫。 |
$ ./gradlew :spring-session-sample-javaconfig-rest:tomcatRun
您現在應該能夠透過 localhost:8080/ 訪問該應用程式
探索 rest 示例應用程式
你現在可以嘗試使用該應用程式。為此，請使用你最喜歡的 REST 客戶端請求 localhost:8080/
$ curl -v https://:8080/
請注意，系統會提示你進行基本身份驗證。提供以下使用者名稱和密碼資訊
-
使用者名稱 user
-
密碼 password
然後執行以下命令
$ curl -v https://:8080/ -u user:password
在輸出中，你應該注意到以下內容
HTTP/1.1 200 OK
...
X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3
{"username":"user"}
具體來說，你應該注意到我們的響應的以下幾點
-
HTTP 狀態現在是 200。
-
我們有一個名為
X-Auth-Token的頭部，其中包含一個新的會話 ID。 -
顯示當前使用者名稱。
我們現在可以使用 X-Auth-Token 發出另一個請求，而無需再次提供使用者名稱和密碼。例如，以下命令輸出使用者名稱，與之前一樣
$ curl -v https://:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"
唯一的區別是響應頭部中未提供會話 ID，因為我們正在重用現有會話。
如果我們將會話失效，則 X-Auth-Token 會以空值顯示在響應中。例如，以下命令使我們的會話失效
$ curl -v https://:8080/logout -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"
你可以在輸出中看到 X-Auth-Token 提供了一個空 String，表明之前的會話已失效
HTTP/1.1 204 No Content ... X-Auth-Token:
它是如何工作的？
Spring Security 在 SecurityContextPersistenceFilter 中與標準 HttpSession 互動。
Spring Security 現在將值持久化到 Redis 中，而不是使用 Tomcat 的 HttpSession。Spring Session 在你的瀏覽器中建立一個名為 X-Auth-Token 的頭部。該頭部包含你的會話 ID。
如果你願意，你可以很容易地看到會話是在 Redis 中建立的。為此，請使用以下命令建立一個會話
$ curl -v https://:8080/ -u user:password
在輸出中，你應該注意到以下內容
HTTP/1.1 200 OK
...
X-Auth-Token: 7e8383a4-082c-4ffe-a4bc-c40fd3363c5e
{"username":"user"}
現在你可以使用 redis-cli 刪除會話。例如，在基於 Linux 的系統上，你可以鍵入
$ redis-cli keys '*' | xargs redis-cli del
| Redis 文件有關於安裝 redis-cli 的說明。 |
或者，你也可以刪除顯式金鑰。為此，請在終端中輸入以下內容，確保將 7e8383a4-082c-4ffe-a4bc-c40fd3363c5e 替換為你的 SESSION cookie 的值
$ redis-cli del spring:session:sessions:7e8383a4-082c-4ffe-a4bc-c40fd3363c5e
我們現在可以使用 X-Auth-Token 對我們刪除的會話發出另一個請求，並觀察到系統提示我們進行身份驗證。例如，以下內容返回 HTTP 401
$ curl -v https://:8080/ -H "X-Auth-Token: 0dc1f6e1-c7f1-41ac-8ce2-32b6b3e57aa3"
