spring session 登录注册模块 拦截器 验证码 MD5 社交登录
拦截器，未登录不能访问（但是静态资源要放行）
MVC配置类
@Configuration
public class WebMVCConfig implements WebMvcConfigurer {
@Autowired
private LoginInterceptor loginInterceptor;
@Override
public void addInterceptors(InterceptorRegistry registry) {
// 添加自己写的拦截器，配置拦截规则
registry.addInterceptor(loginInterceptor)
.addPathPatterns("/test")
.addPathPatterns("/comments/create/change")
.addPathPatterns("/articles/publish")
.addPathPatterns("/register");
registry.addMapping("/**").allowedOrigins("*");
}
}
拦截器
@Component
@Slf4j
public class LoginInterceptor implements HandlerInterceptor {
@Autowired
private LoginService loginService;
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
/**
* 1.需要判断 请求的接口路径 是否为 HandlerMethod (就是Controller方法)
* 【目的是为了放行 访问静态资源的方法。尚硅谷是在MVCConfig里面设置拦截规则的，如下】
* @Override
* public void addInterceptors(InterceptorRegistry registry) {
* registry.addInterceptor(new LoginInterceptor())
* .addPathPatterns("/**") //所有请求都被拦截包括静态资源
* .excludePathPatterns("/","/login","/css/**","/fonts/**","/images/**",
* "/js/**","/aa/**"); //放行的请求
* 2.判断token是否为空，如果为空，未登录【只是演示一下。因为前端不是每个请求的Header都带 Authorization 通过不了拦截器】
* 3.如果token不为空，验证登录 LoginService checkToken
* 4.如果认证成功 放行即可
*/
if(!(handler instanceof HandlerMethod)){
//放行静态资源
return true;
}
//2.判断token是否为空，如果为空，未登录
String token = request.getHeader("Authorization");
// 添加日志
log.info("=================request start===========================");
String requestURI = request.getRequestURI();
log.info("request uri:{}",requestURI);
log.info("request method:{}",request.getMethod());
log.info("token:{}", token);
log.info("=================request end===========================");
if(StringUtils.isBlank(token)){
Result result = Result.fail(ErrorCode.NO_LOGIN.getCode(), ErrorCode.NO_LOGIN.getMsg());
response.setContentType("application/json;charset=utf-8");
response.getWriter().print(JSON.toJSONString(result));
return false;
}
//3.如果token不为空，验证登录 LoginService checkToken
SysUser sysUser = loginService.checkToken(token);
if(sysUser == null){
Result result = Result.fail(ErrorCode.NO_LOGIN.getCode(), ErrorCode.NO_LOGIN.getMsg());
response.setContentType("application/json;charset=utf-8");
response.getWriter().print(JSON.toJSONString(result));
return false;
}
// 登录验证成功 放行
// 希望可以直接在Controller获取用户信息
// 【上面调用的loginService.checkToken其实已经从redis中获取用户信息了，捂脸，
// 只是不能直接return，写到session其实应该也可以，为什么用UserThreadLocal】
// 欧~，原来session其实只是在浏览器的cookie存一个id,实际上的数据还在在服务器端，很多人都是把session的值放在redis里面，有很多好处
// 这里的话，自然不合适存session，不然本质上其实还是存redis，刚刚从redis拿出来又存进去有点，捂脸
//ThreadLocal是单单这个线程可以用，就是说如果其他用户也在验证登录，那每个用户获得的用户信息都是自己的，感觉是做了一个区分
UserThreadLocal.put(sysUser);
return true;
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
// 如果ThreadLocal中用完的信息不进行删除，会有内存泄漏的风险
UserThreadLocal.remove();
}
}
ThreadLocal
public class UserThreadLocal {
private UserThreadLocal(){}
private static final ThreadLocal<SysUser> LOCAL = new ThreadLocal<>();
public static void put(SysUser sysUser){
LOCAL.set(sysUser);
}
public static SysUser get(){
return LOCAL.get();
}
public static void remove(){
LOCAL.remove();
}
}
session共享原理【分布式】
session问题：
1.跨域名session不共享
2.分布式下，同一服务多台机器，session不同步
3.分布式下，不同服务，session不共享
解决方式：
解决问题1，3：
- 第一次设置session的时候，设置最大域名，这样访问的时候也会带上其他域名的cookie
解决问题2：
1.hash一致性，第一次请求去了哪台机器，后面的请求就去哪台机器 或者
2.统一存储：使用redis
统一存储：使用spring session
【被放到session中的类需要实现序列化接口，和使用原来的session一样，只是在存的时候把原来的session替换掉】
【自动延期，浏览器不关，redis刷新过期时间】
依赖
<dependency>
<groupId>org.springframework.session</groupId>
<artifactId>spring-session-data-redis</artifactId>
</dependency>
配置
spring.session.store-type=redis
启动类上加注解
@EnableRedisHttpSession
被放到session中的类需要实现序列化接口
Serializable
常见使用session方式：
直接在参数中写 HttpSession session
@GetMapping(value = "/login.html")
public String loginPage(HttpSession session) {
//从session先取出来用户的信息，判断用户是否已经登录过了
Object attribute = session.getAttribute(LOGIN_USER);
//如果用户没登录那就跳转到登录页面
if (attribute == null) {
return "login";
} else {
return "redirect:http://gulimall.com";
}
}
session配置类：
解决跨域名session不共享：
session使用JSON序列化，不使用jdk序列化：
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.redis.serializer.GenericJackson2JsonRedisSerializer;
import org.springframework.data.redis.serializer.RedisSerializer;
import org.springframework.session.web.http.CookieSerializer;
import org.springframework.session.web.http.DefaultCookieSerializer;
@Configuration
public class GulimallSessionConfig {
// 设置了session的 Domain 扩大范围【是把sessionId的值存在浏览器的cookie，所有实际上是cookie的范围】
// 解决跨域名session不共享的问题
// 还可以设置很多东西
@Bean
public CookieSerializer cookieSerializer(){
DefaultCookieSerializer defaultCookieSerializer = new DefaultCookieSerializer();
defaultCookieSerializer.setDomainName("gulimall.com");
return defaultCookieSerializer;
}
// 设置在redis中存放session的序列化器 为JSON
@Bean
public RedisSerializer<Object> springSessionDefaultRedisSerializer(){
return new GenericJackson2JsonRedisSerializer();
}
}
原理：
/**
* 核心原理
* 1)、@EnableRedisHttpSession-导入RedisHttpSessionConfiguration配置
* 1、给容器中添加了一个组件 SessionRepository =>>>【RedisOperationsSessionRepository】=> redis操作session。
* 2、SessionRepositoryFilter => Filter:session存储过滤器；每个请求过来都必须经过filter
* 1、创建的时侯，就自动从容器中获取到了SessionRepository;
* 2、原始的request,response都被包装。SessionReposi元toryRequestWrapper,.SessionRepositoryResponseWrapper
* 3、以后获取session。request.getSession();
* //SessionRepositoryRequestWrapper
* 4.wrappedRequest.getsession() ===> ,SessionRepository中获取到的。
*
*
* 主要使用装饰者模式
*/
单点登录（几个不同的系统，登录认证服务器之后不用重复登录）
难点：在登录认证服务器之后，其他系统也是登录状态
1、给登录服务器留下登录痕迹（生成token放在redis中）
2、登录服务器要将token信息重定向的时候，带到url地址上
3、其他系统要处理url地址上的关键token，去redis中查询是否有token对应的数据。只要有，将token对应的用户数据保存到自己的session中
4、自己系统将用户保存在自己的会话中。
手机验证码
可以事先购买阿里云的一些短信服务，购买后也有说明
https://www.aliyun.com/search?scene=all&k=%E7%9F%AD%E4%BF%A1
https://market.aliyun.com/products/57000002/cmapi00049440.html?spm=5176.2020520132.101.2.5b447218EUE8v5#sku=yuncode4344000001
流程：
- 用户点击注册，后端校验参数是否合法
- 若合法，用户点击发送验证码【前端要倒计时】
- 后端先查看redis中是否有当前手机号少于60秒的验证码，有则不发送
- 若没有，则调用第三方接口，发送验证码【验证码是本地生成的，而且也要在尾部加上当前系统时间设置到redis，格式如：验证码_当前系统时间】
- 用户在网页输入验证码，发送给后端，后端取出redis中验证码部分 比对【若redis中没有则提示用户验证码错误】
MD5加密用户密码：
为什么密码不能明文放数据库：
- 防止数据库被别人攻破泄漏密码。
为什么密码的加密算法也不能选可逆的：
- 因为别人攻破数据库之后，知道加密的算法就可以获取密码
为什么选择MD5加密：
• Message Digest algorithm 信息摘要算法
• 压缩性：任意长度的数据，算出的MD5值长度都是固定的。
• 容易计算：从原数据计算出MD5值很容易。
• 抗修改性：对原数据进行任何改动，哪怕只修改1个字节，所得到的MD5值都有很大区别。
• 强抗碰撞：想找到两个不同的数据，使它们具有相同的MD5值，是非常困难的。
• 不可逆
为什么用MD5要加盐：
因为直接存储，有可能因为用户设置密码的简单性，导致被破解，设置盐可以加大被破解的难度
• 通过生成随机数与MD5生成字符串进行组合
• 数据库同时存储MD5值与salt值。验证正确性时使用salt进行MD5加密然后匹配即可
低级MD5加密 解密
String password = DigestUtils.md5Hex("123456" + salt);
高级MD5加密！！！使用springboot自带的工具，同一个密码，生成的MD5不一样，很难被匹配破解，但是又可以进行匹配，判断密码是否正确
BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
// 加密
String encode = passwordEncoder.encode("12345");
// 判断是否匹配
boolean matches = passwordEncoder.matches("12345", encode);
OAuth2.0 社交登录（qq，微信）：
要提前获取qq和微信的第三方接口
流程：
1.用户点击网页，跳转到第三方网页
2.登录第三方账号（有时候登录就相当于授权了）
3.第三方账号认证授权
4.网页自动跳转到 原来的网站，并携带code【code只能用一次】
5.后台获取code之后，可以发送请求到第三方，第三方返回token【token不限次数，但有过期时间】
6.后台可以根据令牌获取 用户在第三方的公开信息，比如昵称和头像