Session 原理及在 Java Web 中的应用与注意事项

3.2 读取 Session 数据

@WebServlet("/profile")
public class ProfileServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) {
        HttpSession session = req.getSession(false); // 不自动创建
        if (session != null && session.getAttribute("username") != null) {
            String username = (String) session.getAttribute("username");
            Date loginTime = (Date) session.getAttribute("loginTime");
            resp.getWriter().println("用户：" + username + "，登录时间：" + loginTime);
        } else {
            resp.setStatus(401);
            resp.getWriter().println("请先登录");
        }
    }
}

3.3 注销 Session

@WebServlet("/logout")
public class LogoutServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) {
        HttpSession session = req.getSession(false);
        if (session != null) {
            session.invalidate(); // 销毁 Session
        }
        resp.getWriter().println("已退出登录");
    }
}

Spring Boot 中使用 Session

4.1 启用 Session 支持（默认已开启）

@RestController
public class UserController {
    @PostMapping("/login")
    public String login(@RequestParam String username, HttpServletRequest request) {
        HttpSession session = request.getSession();
        session.setAttribute("username", username);
        return "登录成功，用户：" + username;
    }

    @GetMapping("/info")
    public String getUserInfo(HttpServletRequest request) {
        HttpSession session = request.getSession(false);
        if (session != null && session.getAttribute("username") != null) {
            return "当前用户：" + session.getAttribute("username");
        }
        return "未登录";
    }

    @GetMapping("/logout")
    public String logout(HttpServletRequest request) {
        HttpSession session = request.getSession(false);
        if (session != null) {
            session.invalidate();
        }
        return "已退出";
    }
}

4.2 使用 @SessionAttribute 注解（更优雅）

@Controller
@SessionAttributes("user")
public class SessionController {
    @PostMapping("/login")
    public String login(@RequestParam String username, Model model) {
        model.addAttribute("user", new User(username));
        return "redirect:/dashboard";
    }

    @GetMapping("/dashboard")
    public String dashboard(@SessionAttribute("user") User user, Model model) {
        model.addAttribute("user", user);
        return "dashboard";
    }
}

Session 的注意事项与最佳实践

5.1 安全性问题

设置安全的 Cookie 属性：

# 在 Spring Boot 中配置
server:
  servlet:
    session:
      cookie:
        http-only: true
        secure: true
        same-site: strict

5.2 性能与可扩展性

• 内存占用：Session 默认存储在服务器内存中，大量用户会消耗内存。
• 集群部署问题：多台服务器时，Session 无法共享。

解决方案：

• 使用 Redis 存储 Session（推荐）
• 使用 Spring Session + Redis

<!-- pom.xml -->
<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

# application.yml
spring:
  session:
    store-type: redis
    redis:
      host: localhost
      port: 6379

5.3 Session 过期时间

# application.yml
server:
  servlet:
    session:
      timeout: 30m # 30 分钟

或在代码中设置：

session.setMaxInactiveInterval(1800); // 秒

总结