基于Session实现短信验证码登录流程 怼烎@ 2024-03-22 03:27 11阅读 0赞 #### 文章目录 #### * * 1 发送短信验证码与登录 * 2 登录拦截功能 * 3 隐藏用户敏感信息 * 4 问题: 多台Tomcat的session共享问题 分析一下流程 **发送验证码:** 用户在提交手机号后,会校验手机号是否合法,如果不合法,则要求用户重新输入手机号 如果手机号合法,后台此时生成对应的验证码,同时将验证码进行保存,然后再通过短信的方式将验证码发送给用户 **短信验证码登录、注册:** 用户将验证码和手机号进行输入,后台从session中拿到当前验证码,然后和用户输入的验证码进行校验,如果不一致,则无法通过校验,如果一致,则后台根据手机号查询用户,如果用户不存在,则为用户创建账号信息,保存到数据库,无论是否存在,都会将用户信息保存到session中,方便后续获得当前登录信息 **校验登录状态:** 用户在请求时候,会从cookie中携带者`JsessionId`到后台,后台通过`JsessionId`从session中拿到用户信息,如果没有session信息,则进行拦截,如果有session信息,则将用户信息保存到`threadLocal`中,并且放行 画出流程图即 ![14ad40b6c2a442c1aa4f332f264cfd19.png][] ### 1 发送短信验证码与登录 ### ![fa223c01d7a6466a8af58af3629f8b44.png][] 具体逻辑上文已经分析,我们仅仅只需要按照提示的逻辑写出代码即可。 发送验证码 @Override public Result sendCode(String phone, HttpSession session) { // 1.校验手机号 if (RegexUtils.isPhoneInvalid(phone)) { // 2.如果不符合,返回错误信息 return Result.fail("手机号格式错误!"); } // 3.符合,生成验证码 String code = RandomUtil.randomNumbers(6); // 4.保存验证码到 session session.setAttribute("code",code); // 5.发送验证码 log.debug("发送短信验证码成功,验证码:{}", code); // 返回ok return Result.ok(); } 登录, 不存在则创建 @Override public Result login(LoginFormDTO loginForm, HttpSession session) { // 1.校验手机号 String phone = loginForm.getPhone(); if (RegexUtils.isPhoneInvalid(phone)) { // 2.如果不符合,返回错误信息 return Result.fail("手机号格式错误!"); } // 3.校验验证码 Object cacheCode = session.getAttribute("code"); String code = loginForm.getCode(); if(cacheCode == null || !cacheCode.toString().equals(code)){ //3.不一致,报错 return Result.fail("验证码错误"); } //一致,根据手机号查询用户 User user = query().eq("phone", phone).one(); //5.判断用户是否存在 if(user == null){ //不存在,则创建 user = createUserWithPhone(phone); } //7.保存用户信息到session中 session.setAttribute("user",user); return Result.ok(); } ### 2 登录拦截功能 ### > 有些页面, 用户不登录不让查看, 怎么实现呢? 当用户发起请求时,会访问我们像tomcat注册的端口,任何程序想要运行,都需要有一个线程对当前端口号进行监听,tomcat也不例外,当监听线程知道用户想要和tomcat连接连接时,那会由监听线程创建socket连接,socket都是成对出现的,用户通过socket像互相传递数据,当tomcat端的socket接受到数据后,此时监听线程会从tomcat的线程池中取出一个线程执行用户请求,在我们的服务部署到tomcat后,线程会找到用户想要访问的工程,然后用这个线程转发到工程中的controller,service,dao中,并且访问对应的DB,在用户执行完请求后,再统一返回,再找到tomcat端的socket,再将数据写回到用户端的socket,完成请求和响应 通过以上讲解,我们可以得知 每个用户其实对应都是去找tomcat线程池中的一个线程来完成工作的, 使用完成后再进行回收,既然每个请求都是独立的,所以在每个用户去访问我们的工程时,我们可以使用`threadlocal`来做到线程隔离,每个线程操作自己的一份数据. ![673114cec03f4893a7376d15ae02729b.png][] 如果小伙伴们看过[threadLocal][]的源码,你会发现在threadLocal中,无论是他的put方法和他的get方法, 都是先从获得当前用户的线程,然后从线程中取出线程的成员变量map,只要线程不一样,map就不一样,所以可以通过这种方式来做到线程隔离 我们通过拦截器来实现 ![d9f339910ae64d27b481a196485f5908.png][] 拦截器代码 public class LoginInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { //1.获取session HttpSession session = request.getSession(); //2.获取session中的用户 Object user = session.getAttribute("user"); //3.判断用户是否存在 if(user == null){ //4.不存在,拦截,返回401状态码 response.setStatus(401); return false; } //5.存在,保存用户信息到Threadlocal UserHolder.saveUser((User)user); //6.放行 return true; } } 让拦截器生效 @Configuration public class MvcConfig implements WebMvcConfigurer { @Resource private StringRedisTemplate stringRedisTemplate; @Override public void addInterceptors(InterceptorRegistry registry) { // 登录拦截器 registry.addInterceptor(new LoginInterceptor()) .excludePathPatterns( "/shop/**", "/voucher/**", "/shop-type/**", "/upload/**", "/blog/hot", "/user/code", "/user/login" ).order(1); // token刷新的拦截器 registry.addInterceptor(new RefreshTokenInterceptor(stringRedisTemplate)).addPathPatterns("/**").order(0); } } ### 3 隐藏用户敏感信息 ### 我们**通过浏览器观察到此时用户的全部信息都在**,这样极为不靠谱,所以我们应当在返回用户信息之前,将用户的敏感信息进行隐藏,采用的核心思路就是书写一个`UserDto`对象,这个`UserDto`对象就没有敏感信息了,我们在返回前,将有用户敏感信息的User对象转化成没有敏感信息的`UserDto`对象,那么就能够避免这个尴尬的问题了. **在登录方法处修改** //7.保存用户信息到session中 session.setAttribute("user", BeanUtils.copyProperties(user,UserDTO.class)); **在拦截器处:** //5.存在,保存用户信息到Threadlocal UserHolder.saveUser((UserDTO) user); **在UserHolder处:将user对象换成UserDTO** public class UserHolder { private static final ThreadLocal<UserDTO> tl = new ThreadLocal<>(); public static void saveUser(UserDTO user){ tl.set(user); } public static UserDTO getUser(){ return tl.get(); } public static void removeUser(){ tl.remove(); } } ### 4 问题: 多台Tomcat的session共享问题 ### 每个tomcat中都有一份属于自己的session,假设用户第一次访问第一台tomcat,并且把自己的信息存放到第一台服务器的session中,但是第二次这个用户访问到了第二台tomcat,那么在第二台服务器上,肯定没有第一台服务器存放的session,所以此时 整个登录拦截功能就会出现问题,我们能如何解决这个问题呢?早期的方案是session拷贝,就是说虽然每个tomcat上都有不同的session,但是每当任意一台服务器的session修改时,都会同步给其他的Tomcat服务器的session,这样的话,就可以实现session的共享了 但是这种方案具有两个大问题 1、每台服务器中都有完整的一份session数据,服务器压力过大。 2、session拷贝数据时,可能会出现延迟 所以咱们后来采用的方案都是基于redis来完成,我们把session换成redis,redis数据本身就是共享的,就可以避免session共享的问题了 ![1653069893050][] [14ad40b6c2a442c1aa4f332f264cfd19.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ab1d9784f97e4d01ab7b8283ef21a34a.png [fa223c01d7a6466a8af58af3629f8b44.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/eaa7e98cb2bb44b68d30b0da57ae5948.png [673114cec03f4893a7376d15ae02729b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/e8114c859f0649f09269220860feebb6.png [threadLocal]: https://zhuanlan.zhihu.com/p/192997550 [d9f339910ae64d27b481a196485f5908.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/08dda492d3104956aae2288550b7e0ce.png [1653069893050]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/cba703aedadf495e93195226aefa6144.png
还没有评论,来说两句吧...