当前位置： 首页 > news >正文

分布式会话的演进和最佳实践，含springBoot 实现（Java版本）

news 2025/7/7 19:48:18

一、分布式会话的背景

在微服务架构或集群部署环境下，请求可能落在不同的服务器节点，无法再依赖本地内存来维护用户 Session。因此，需要一种跨节点共享 Session 的机制，这就是 分布式会话管理的核心目标。

二、分布式会话的演进历程

1. 单节点会话（原始方案）

  • 会话存储在内存中，如 Tomcat 的 HttpSession。
  • 缺点：不可扩展、节点故障丢失会话。

2. Session Sticky（会话绑定）

  • 做法：使用负载均衡策略（如 Nginx 的 ip_hash）将同一用户绑定到固定节点。

  • 优点：不用共享 Session。

  • 缺点：

    • 容错差：节点挂了，Session 丢失。
    • 扩展性差：负载不均衡。

3. Session 复制（共享内存同步）

  • 如 Tomcat 集群通过 DeltaManager 或 BackupManager 实现 Session 同步。

  • 缺点：

    • 性能开销大（尤其写操作多时）。
    • 网络带宽压力高。

4. 集中式 Session 存储（核心阶段）

  • 统一存储于 Redis、Memcached、数据库等。

  • 优点：

    • 节点无状态，扩容方便。
    • 容错好，支持持久化。

  • 常见技术栈：

    • Spring Session + Redis
    • Shiro + Redis
    • 自定义 Filter 拦截 + Redis

  • 缺点：

    • 读写 Redis 有延迟，需优化缓存与连接池。

5. Token 模式（Stateless Session）

  • 不再使用服务器记录状态。会话状态由客户端持有，常见如 JWT（JSON Web Token）。

  • 特点：

    • 完全无状态，易于扩展。
    • 鉴权速度快，无需访问服务器。

  • 缺点：

    • JWT 不支持撤销。
    • Payload 泄漏风险需加密或签名。
    • 会话失效处理复杂（需结合 Redis 存 token 黑名单等）。

6. 混合模式（最佳实践）

  • 使用 JWT 携带身份信息 + Redis 存储服务端状态（权限、Session 信息等）。

  • 优点兼得：

    • 前端无状态便于认证传输。
    • 服务端掌握可控状态，支持注销、权限变更等。

三、关键技术对比

模式状态位置扩展性容错性性能安全性实时性
Sticky Session服务端差差好中高
Session 复制多服务端差中差中高
Redis集中存储Redis好好中好中
JWT客户端最好最好高中（需加密）高
混合方案客户端+Redis最佳最佳中上最佳高

四、最佳事件（Best Practices）

✅ 实际生产中推荐：

1. Spring Boot 项目：使用 Spring Session + Redis
  • 简单集成，Spring 自动替换原生 Session。
  • 可配置 session TTL，支持自动刷新、分布式环境可控。
2. 高并发微服务：使用 JWT + Redis 双模式
  • JWT 保证 stateless 高性能登录认证。
  • Redis 存储 session 黑名单、权限信息，便于集中管理。
3. 安全性要求高：JWT 签名 + 加密 + Redis 控制权限变更
  • 对 token 加签、加密（如 RSA）防篡改、防泄露。
  • Redis 控制 Token 生命周期、用户禁用、权限升级等事件。
4. 高可用部署：Redis 使用 Sentinel / Cluster + 本地缓存
  • Redis 配合本地 Caffeine/Guava 缓存，减轻访问压力。
  • Redis 节点使用 Sentinel 做主从切换，确保高可用。
5. 重要业务审计：使用 Session ID 记录登录轨迹、权限行为
  • 配合 Kafka/Logstash 进行操作轨迹分析。

五、总结

分布式会话的演进反映了分布式系统对性能、可用性、安全性和扩展性的不断追求。最佳实践通常采用混合模式，兼顾无状态特性与业务控制能力：

推荐组合：JWT（身份标识）+ Redis（状态控制）+ 本地缓存（性能优化）+ Spring Security/Spring Session 集成

六、分布式会话最佳实践之代码实现

Spring Boot + Spring Security + JWT + Redis 的完整分布式会话控制实现

🧱 一、整体架构图

[前端] ⇄ [Spring Boot 接口层 (JWT Auth Filter)] ⇄ [JWT 验签 + Redis 校验] ⇄ [业务接口]

📦 二、Maven 依赖

<!-- Spring Boot -->
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId>
</dependency><!-- Spring Security -->
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency><!-- JWT -->
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version>
</dependency><!-- Redis -->
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>

🔐 三、JWT 工具类

@Component
public class JwtUtil {private final String secretKey = "mySecretKey"; // 建议使用 RSA 非对称密钥private final long expiration = 60 * 60 * 1000; // 1小时public String generateToken(String username) {return Jwts.builder().setSubject(username).setIssuedAt(new Date()).setExpiration(new Date(System.currentTimeMillis() + expiration)).signWith(SignatureAlgorithm.HS512, secretKey).compact();}public String getUsername(String token) {return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token).getBody().getSubject();}public boolean isTokenValid(String token) {try {Claims claims = Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token).getBody();return claims.getExpiration().after(new Date());} catch (Exception e) {return false;}}
}

🔁 四、登录接口

@RestController
@RequestMapping("/auth")
public class AuthController {@Autowired private JwtUtil jwtUtil;@Autowired private RedissonClient redissonClient;@PostMapping("/login")public ResponseEntity<?> login(@RequestBody Map<String, String> login) {String username = login.get("username");String password = login.get("password");//这里要写业务代码查询用户进行数据校验 //获取userId if ("admin".equals(username) && "123456".equals(password)) {String userId= "用户ID";String token = jwtUtil.generateToken(username);RBucket<String> bucket = redissonClient.getBucket("TOKEN:" + userId);bucket.set(token, 30, TimeUnit.MINUTES);return ResponseEntity.ok(Map.of("token", token));}return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Invalid credentials");}@PostMapping("/logout")public ResponseEntity<?> logout(HttpServletRequest request) {String token = request.getHeader("Authorization");if (token != null && token.startsWith("Bearer ")) {String jwt = token.substring(7);String userId= jwtUtil.getUsername(jwt);redissonClient.getBucket("TOKEN:" + userId).delete();}return ResponseEntity.ok("Logged out");}
}

🛡️ 五、JWT 过滤器（拦截器）

@Component
public class JwtAuthFilter extends OncePerRequestFilter {@Autowired private JwtUtil jwtUtil;@Autowired private RedissonClient redissonClient;@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)throws ServletException, IOException {String authHeader = request.getHeader("Authorization");if (authHeader != null && authHeader.startsWith("Bearer ")) {String token = authHeader.substring(7);if (jwtUtil.isTokenValid(token)) {String userId = jwtUtil.getUsername(token); RBucket<String> bucket = redissonClient.getBucket("TOKEN:" + userId);String redisToken= bucket.get();boolean exists = bucket.isExists();if (exists && token.equals(redisToken)) {UsernamePasswordAuthenticationToken authentication =new UsernamePasswordAuthenticationToken(username, null, List.of());SecurityContextHolder.getContext().setAuthentication(authentication);}}}chain.doFilter(request, response);}
}

⚙️ 六、Spring Security 配置

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Autowired private JwtAuthFilter jwtAuthFilter;@Beanpublic SecurityFilterChain filterChain(HttpSecurity http) throws Exception {http.csrf().disable().authorizeRequests().antMatchers("/auth/**").permitAll().anyRequest().authenticated().and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);http.addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class);return http.build();}
}

🧪 七、测试方式

  1. 登录

    • POST /auth/login，body：{ "username": "admin", "password": "123456" }
    • 返回 token

  2. 请求业务接口

    • GET /some/api，在 Header 中加 Authorization: Bearer <token>

  3. 退出登录

    • POST /auth/logout，将当前 token 放入 Header

🧠 八、扩展建议（进阶后续会不断填坑）

功能需求建议方案
多端登录互踢Redis 中存储设备ID、时间戳，旧设备 token 作废
Token 黑名单机制Redis 设置黑名单，配合 JWT ID(jti) 做验证
细粒度权限控制搭配 Spring Security 的 @PreAuthorize、@Secured 注解使用
Token 刷新机制定期发起 refresh token 请求，更新主 token
Redis 持久化或 Cluster开启持久化，使用 Sentinel/Cluster 高可用

收工

http://www.lryc.cn/news/581847.html

相关文章：

  • 深度学习图像分类数据集—濒危动物识别分类
  • 李宏毅genai笔记：推理
  • Web攻防-XMLXXE上传解析文件预览接口服务白盒审计应用功能SRC报告
  • 网安系列【8】之暴力破解入门
  • Java设计模式之行为型模式（策略模式）介绍与说明
  • 125.【C语言】数据结构之归并排序递归解法
  • docker-compse安装nginx
  • Win11 安装 Visual Studio（保姆教程 - 更新至2025.07）
  • Altium Designer使用入门（非精通）教程 第三章（PCB绘制）
  • Application的onLowMemory从Android API 34开始系统不再触发，从API 35开始废弃
  • 【机器学习笔记Ⅰ】12 逻辑回归
  • get: ()=＞state 和get: ()=＞{state}
  • std::vector＜bool＞有什么特殊的吗
  • Podman与Docker详细比较：从原理到使用
  • 单片机总复习
  • 开关电源抄板学习
  • Spring Cloud Alibaba/Spring Boot整合华为云存储实例（REST API方式）
  • 反向遍历--当你修改一个元素的outerHTML时，该元素会被从 DOM 中移除
  • Python设计小游戏方法简介
  • 【C++】string类（二）相关接口介绍及其使用
  • 2025年03月 C/C++（四级）真题解析#中国电子学会#全国青少年软件编程等级考试
  • LeetCode 每日一题 2025/6/30-2025/7/6
  • WPF学习笔记（26）CommunityToolkit.Mvvm与MaterialDesignThemes
  • 端到端矢量化地图构建与规划
  • 【机器学习笔记 Ⅱ】1 神经网络
  • 从源码到思想：OneCode框架模块化设计如何解决前端大型应用痛点
  • RDF安装使用教程
  • 408第三季part2 - 计算机网络 - 传输层
  • 计算机网络实验——配置ACL
  • 植物大战僵尸杂交重制版1.0，经典焕新，重燃策略塔防之火