Shiro经过Redis管理会话实现集群（转载）

sunyke

　　

package com.gqshao.authentication.controller;　　

　　
import com.gqshao.authentication.dao.CachingShiroSessionDao;
　　
import org.apache.shiro.session.Session;
　　
import org.springframework.beans.factory.annotation.Autowired;
　　
import org.springframework.stereotype.Controller;
　　
import org.springframework.web.bind.annotation.RequestMapping;
　　
import org.springframework.web.bind.annotation.ResponseBody;
　　

　　
import java.io.Serializable;
　　
import java.util.Collection;
　　

　　
@Controller
　　
@RequestMapping("/session")

　　
public>　　

　　@Autowired
　　private CachingShiroSessionDao sessionDao;
　　

　　@RequestMapping("/active")
　　@ResponseBody
　　public Collection<Session> getActiveSessions() {
　　return sessionDao.getActiveSessions();
　　}
　　

　　@RequestMapping("/read")
　　@ResponseBody
　　public Session readSession(Serializable sessionId) {
　　return sessionDao.doReadSessionWithoutExpire(sessionId);
　　}
　　
}
　　

　　


七.集群情况下的改造
　　1.问题上面启用了Redis中央缓存、EhCache本地JVM缓存，AuthorizingRealm的doGetAuthenticationInfo登陆认证方法返回的AuthenticationInfo，默认情况下会被保存到Session的Attribute下面两个字段中
　　

org.apache.shiro.subject.support.DefaultSubjectContext.PRINCIPALS_SESSION_KEY 保存 principal　　
org.apache.shiro.subject.support.DefaultSubjectContext.AUTHENTICATED_SESSION_KEY 保存 boolean是否登陆
　　

　　然后在每次请求过程中，在ShiroFilter中组装Subject时，读取Session中这两个字段
　　现在的问题是Session被缓存到本地JVM堆中，也就是说服务器A登陆，无法修改服务器B的EhCache中Session属性，导致服务器B没有登陆。
　　处理方法有很多思路，比如重写CachingSessionDAO，readSession如果没有这两个属性就不缓存（没登陆就不缓存），或者cache的session没有这两个属性就调用自己实现的doReadSession方法从Redis中重读一下。
　　

/**　　* 重写CachingSessionDAO中readSession方法，如果Session中没有登陆信息就调用doReadSession方法从Redis中重读
　　*/
　　
@Override
　　
public Session readSession(Serializable sessionId) throws UnknownSessionException {
　　Session session = getCachedSession(sessionId);
　　if (session == null
　　|| session.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY) == null) {
　　session = this.doReadSession(sessionId);
　　if (session == null) {

　　throw new UnknownSessionException("There is no session with>　　} else {
　　// 缓存
　　cache(session, session.getId());
　　}
　　}
　　return session;
　　
}
　　

　　2.如果需要保持各个服务器Session是完全同步的，可以通过Redis消息订阅/发布功能，再调用SessionDao中实现了删除Session本地缓存的方法