Shiro官方快速入门10min例子源码解析框架2-Session

Shiro自身维护了一套session管理组件，它可以独立使用，并不单纯依赖WEB/Servlet/EJB容器等环境，使得它的session可以任何应用中使用。

2-Session）主要介绍在quickstart例子中从获取Subject后，由初始化获取Session并写入读出session参数的完整过程。

同样，本篇本文使用的是shiro 1.3.2版本，配合源码最佳~

Shiro自身提供了SessionManager的三种实现来支持不同的模式

DefaultSessionManager：Shiro自身维护的session，可在普通应用环境使用

DefaultWebSessionManager：独立提供在shiro-web包中，继承SessionManager，并额外支持WEB相关方法

ServletContainerSessionManager：使用Servlet容器提供Session管理，提供少量额外方法

在samples-quickstart例子中使用到的是DefaultSessionManager。

篇1（Shiro官方快速入门10min例子源码解析框架1-初始化）中，1.2节DefaultSecurityManager是DefaultSessionManager的子类，在初始化DefaultSecurityManager时一同初始化DefaultSessionManager

在获取到Subject后，继续看samples-quickstart的代码如何获取和设置Session

Subject currentUser = SecurityUtils.getSubject();

2.1下一步是获取Session，调用Subject的getSession方法

Session session = currentUser.getSession();

DelegatingSubject中,getSession()若无参数，则调用getSession(true)，如果不需要Shiro 的Session功能可以调用getSession(false)，

public Session getSession() {
        return getSession(true);
    }

调用DelegatingSubject.getSession(true)，前半部分是日志，及isSessionCreationEnabled()判断（默认为ture）

public Session getSession(boolean create) {
        if (log.isTraceEnabled()) {
            log.trace("attempting to get session; create = " + create +
                    "; session is null = " + (this.session == null) +
                    "; session has id = " + (this.session != null && session.getId() != null));
        }

        if (this.session == null && create) {

            //added in 1.2:
            if (!isSessionCreationEnabled()) {
                String msg = "Session creation has been disabled for the current subject.  This exception indicates " +
                        "that there is either a programming error (using a session when it should never be " +
                        "used) or that Shiro's configuration needs to be adjusted to allow Sessions to be created " +
                        "for the current Subject.  See the " + DisabledSessionException.class.getName() + " JavaDoc " +
                        "for more.";
                throw new DisabledSessionException(msg);
            }

            log.trace("Starting session for host {}", getHost());
            SessionContext sessionContext = createSessionContext();
            Session session = this.securityManager.start(sessionContext);
            this.session = decorate(session);
        }
        return this.session;
    }

主要在后半部分sessionContext、session获取，及decorate过程

2.1.1获取默认空白sessonContext，其为map的子类，

2.1.2构建session将sessionContext绑定到其中

2.1.3包装session

2.1.2调用SessionsSecurityManager.start 其中sessionManager是DefaultSessionManager的实例

public Session start(SessionContext context) throws AuthorizationException {
        return this.sessionManager.start(context);
    }

其调用父类AbstractNativeSessionManager中的start方法

public Session start(SessionContext context) {
        Session session = createSession(context);
        applyGlobalSessionTimeout(session);
        onStart(session, context);
        notifyStart(session);
        //Don't expose the EIS-tier Session object to the client-tier:
        return createExposedSession(session, context);
    }

2.1.2.1构建Session

2.1.2.2设置session过期时间

2.1.2.3onStart操作，作为session监听器点(本例无监听器

2.1.2.4调用监听器onStart(本例无监听器

2.1.2.5创建

2.1.2.1继而AbstractNativeSessionManager.createSession()调用AbstractValidatingSessionManager.createSession() 启用session的验证功能，

protected Session createSession(SessionContext context) throws AuthorizationException {
        enableSessionValidationIfNecessary();
        return doCreateSession(context);
    }

继续调用DefaultSessionManager.doCreateSession(),DefaultSessionManager调用newSessionInstance，

protected Session doCreateSession(SessionContext context) {
        Session s = newSessionInstance(context);
        if (log.isTraceEnabled()) {
            log.trace("Creating session for host {}", s.getHost());
        }
        create(s);
        return s;
    }

获得SimpleSessionFactory工厂后构建调用SimpleSessionFactory.createSession()

此时session中只有时间戳、session失效时间等信息

继而调用DefaultSessionManager.create() 持久化session(由于例子中未设置外部DAO则使用的是MemorySessionDAO实例

protected void create(Session session) {
        if (log.isDebugEnabled()) {
            log.debug("Creating new EIS record for new session instance [" + session + "]");
        }
        sessionDAO.create(session);
    }

这一步中会 为session生成一个UUID作为sessionID,并保存到session中，调用storeSession()将session 及其ID保存在MemorySessionDAO实例中的一个ConcurrentMap sessions中

protected Serializable doCreate(Session session) {
        Serializable sessionId = generateSessionId(session);
        assignSessionId(session, sessionId);
        storeSession(sessionId, session);
        return sessionId;
    }

最后成功返回session

2.1.2.2依据全局session过期时间设置session并更新到sessionDAO

protected void applyGlobalSessionTimeout(Session session) {
        session.setTimeout(getGlobalSessionTimeout());
        onChange(session);
    }

2.1.2.5

将SimpleSession转化为外部可用的DelegatingSession

protected Session createExposedSession(Session session, SessionContext context) {
        return new DelegatingSession(this, new DefaultSessionKey(session.getId()));
    }

2.1.3将session包装成统一的StoppingAwareProxiedSession，后续通过委托操作session内的方法

protected Session decorate(Session session) {
        if (session == null) {
            throw new IllegalArgumentException("session cannot be null");
        }
        return new StoppingAwareProxiedSession(session, this);
    }

最后各处返回得到session

2.2在session中插入值

session.setAttribute("someKey", "aValue");

调用StoppingAwareProxiedSession父类方法ProxiedSession.setAttribute(),其中

public void setAttribute(Object key, Object value) throws InvalidSessionException {
        delegate.setAttribute(key, value);
    }

继而调用DelegatingSession.setAttribute（），其中调用并调用AbstractNativeSessionManager.setAttribute()，参数sessionKey为当前DelegatingSession的sessionKey

public void setAttribute(SessionKey sessionKey, Object attributeKey, Object value) throws InvalidSessionException {
        if (value == null) {
            removeAttribute(sessionKey, attributeKey);
        } else {
            Session s = lookupRequiredSession(sessionKey);
            s.setAttribute(attributeKey, value);
            onChange(s);
        }
    }

2.2.1判断来值是否为空

2.2.2.1

lookupRequiredSession(sessionKey)经过一系列过程，获得sessionId，依据sessionId由sessionDAO从DAO中获取simplesession实例

2.2.2.2空则删除对应的session参数

2.2.3获得的session设置参数

2.2.4sessionDAO中更新session

2.2在session中查找值

String value = (String) session.getAttribute("someKey");

调用StoppingAwareProxiedSession父类方法ProxiedSession.getAttribute(),

public Object getAttribute(Object key) throws InvalidSessionException {
        return delegate.getAttribute(key);
    }

与setAttribute()类似，从DAO中依据由sessionKey得到的sessionID获得SimpleSession的实例，再调用其getAttribute方法获得参数

public Object getAttribute(SessionKey sessionKey, Object attributeKey) throws InvalidSessionException {
        return lookupRequiredSession(sessionKey).getAttribute(attributeKey);
    }

至此一个简单的Session获取及参数写入读取便完成了

参考：

http://shiro.apache.org/10-minute-tutorial.html

http://shiro.apache.org/session-management.html

http://www.apache.org/dyn/closer.cgi/shiro/1.3.2/shiro-root-1.3.2-source-release.zip

转载请注明作者及来源：https://www.cnblogs.com/codflow/