Apache Shiro Web应用会话管理

水深无声 2022-04-01 13:30 181阅读 0赞

**Servlet容器会话管理**

在Web环境中，Shiro默认的会话管理器SessionManager 的实现是ServletContainerSessionManager。这个实现只是简单的封装了Servlet容器，包括会话集群功能。它的本质是Shiro Session API与Servlet容器之间的一个桥梁。

使用这个默认实现的好处是，应用程序将使用现有的servlet容器的会话配置，例如超时，基于特定容器的集群机制等。缺点是你的应用程序依赖于特定servlet容器的会话处理将不适合移植。

如果使用缺省的servlet容器配置，在Web.xml文件里可配置Session超时。例如：

<table> 
 <tbody> 
  <tr> 
   <td> <p>&lt;session-config&gt;</p> <p>&nbsp;&nbsp;&lt;!--&nbsp;web.xml&nbsp;expects&nbsp;the&nbsp;session&nbsp;timeout&nbsp;in&nbsp;minutes:&nbsp;--&gt;</p> <p>&nbsp;&nbsp;&lt;session-timeout&gt;30&lt;/session-timeout&gt;</p> <p>&lt;/session-config&gt;</p> </td> 
  </tr> 
 </tbody> 
</table>

**本地会话管理**

如果你想要特定的会话管理/集群功能，并且可以在不同的servlet容器移植。你可以Shiro本地的会话管理。“本地”的意思是Shiro自己实现的企业级会话管理支持所有的Subject和HttpServletRequest会话。但请放心，Shiro实现的会话管理符合servlet规范，现有的Web/HTTP相关代码不需要修改。

如想使用Shiro本地的会话管理，需要在shiro.ini进行配置：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>...</p> <p>sessionManager&nbsp;=&nbsp;org.apache.shiro.web.session.mgt.DefaultWebSessionManager</p> <p>#&nbsp;configure&nbsp;properties&nbsp;(like&nbsp;session&nbsp;timeout)&nbsp;here&nbsp;if&nbsp;desired</p> <p></p> <p>#&nbsp;Use&nbsp;the&nbsp;configured&nbsp;native&nbsp;session&nbsp;manager:</p> <p>securityManager.sessionManager&nbsp;=&nbsp;$sessionManager</p> </td> 
  </tr> 
 </tbody> 
</table>

一旦声明，你就可以配置DefaultWebSessionManager的实例，配置方法可参考“会话管理”部分中所描述的集群配置与本地会话选项。

比如，session超时设置：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>...</p> <p>#&nbsp;3,600,000&nbsp;milliseconds&nbsp;=&nbsp;1&nbsp;hour</p> <p>securityManager.sessionManager.globalSessionTimeout&nbsp;=&nbsp;3600000</p> </td> 
  </tr> 
 </tbody> 
</table>

DefaultWebSessionManager支持两种配置特性的Session Cookie：

l sessionIdCookieEnabled (a boolean)

l sessionIdCookie, a Cookie instance.

DefaultWebSessionManager的sessionIdCookie缺省实例是SimpleCookie。这个实现符合JavaBeans风格的属性配置，可以让所有相关的属性配置成一个Http Cookie。例如，你可以设置Cookie域：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>...</p> <p>securityManager.sessionManager.sessionIdCookie.domain&nbsp;=&nbsp;foo.com</p> </td> 
  </tr> 
 </tbody> 
</table>

Cookie的默认名称是JSESSIONID。此外，Shiro的cookie支持HttpOnly flag。

如果你不想使用会话cookie，你可以将sessionIdCookieEnabled的属性设置为false。例如：

<table> 
 <tbody> 
  <tr> 
   <td> <p>[main]</p> <p>...</p> <p>securityManager.sessionManager.sessionIdCookieEnabled&nbsp;=&nbsp;false</p> </td> 
  </tr> 
 </tbody> 
</table>