<think>我们来实现一个完整的Spring Boot示例，展示如何使用
Cookie和Session进行用户状态管理。
需求：用户访问/login进行登录（模拟），服务器创建会话并将用户信息存入session，同时返回一个包含session ID的
Cookie。
当用户访问/profile时，通过
Cookie中的session ID获取用户信息。
步骤：
1. 创建Spring Boot项目，添加Spring Web和Spring Session依赖（这里使用内存session，生产环境建议Redis）
2. 实现登录接口，设置
Cookie
3. 实现个人资料接口，从Session读取数据
注意：为了简化，我们使用内存Session（默认）并模拟用户登录。
依赖（pom.xml）:
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.session</groupId>
<artifactId>spring-session-core</artifactId>
</dependency>
代码实现：</think>###
Cookie与Session实践示例：用户登录状态管理
以下是一个完整的Spring Boot实现，展示如何通过
Cookie传递Session ID并在服务端管理用户状态：
```java
import org.springframework.web.bind.annotation.*;
import javax.servlet.http.*;
import java.util.*;
@RestController
public class AuthController {
// 模拟用户数据库（实际应使用数据库）
private static final Map<String, String> USER_DB = Map.of(
"admin", "admin123",
"user", "password"
);
// 登录接口：验证凭证并创建会话
@PostMapping("/login")
public ResponseEntity<String> login(
@RequestParam String username,
@RequestParam String password,
HttpServletRequest req,
HttpServletResponse res
) {
// 1. 验证用户凭证
if (!USER_DB.containsKey(username) || !USER_DB.get(username).equals(password)) {
return ResponseEntity.status(401).body("用户名或密码错误");
}
// 2. 创建唯一会话ID
String sessionId = UUID.randomUUID().toString();
// 3. 在服务端存储Session数据（实际应使用Redis）
HttpSession session = req.getSession(true);
session.setAttribute("username", username);
session.setAttribute("loginTime", new Date());
session.setMaxInactiveInterval(30 * 60); // 30分钟超时
// 4. 设置安全
Cookie传递Session ID
Cookie session
Cookie = new
Cookie("SESSION_ID", sessionId);
session
Cookie.setHttpOnly(true);
session
Cookie.setSecure(true); // 生产环境应开启HTTPS
session
Cookie.setPath("/");
session
Cookie.setMaxAge(30 * 60); // 与Session超时一致
res.add
Cookie(session
Cookie);
return ResponseEntity.ok("登录成功！");
}
// 个人资料接口：通过Session获取用户数据
@GetMapping("/profile")
public ResponseEntity<String> profile(HttpServletRequest req) {
// 1. 获取Session对象（不自动创建新Session）
HttpSession session = req.getSession(false);
// 2. 验证会话有效性
if (session == null || session.getAttribute("username") == null) {
return ResponseEntity.status(401).body("请先登录");
}
// 3. 返回个性化数据
String username = (String) session.getAttribute("username");
Date loginTime = (Date) session.getAttribute("loginTime");
return ResponseEntity.ok(String.format(
"用户: %s\n登录时间: %tT\n会话ID: %s",
username, loginTime, session.getId()
));
}
// 登出接口：销毁会话
@PostMapping("/logout")
public ResponseEntity<String> logout(HttpServletRequest req, HttpServletResponse res) {
// 1. 使当前Session失效
HttpSession session = req.getSession(false);
if (session != null) {
session.invalidate();
}
// 2. 清除客户端
Cookie
Cookie cookie = new
Cookie("SESSION_ID", null);
cookie.setPath("/");
cookie.setMaxAge(0); // 立即过期
res.add
Cookie(
cookie);
return ResponseEntity.ok("已退出登录");
}
}
```
### 关键安全机制说明
1. **会话固定攻击防护**
```java
// 登录成功后重置Session ID
req.changeSessionId();
```
2. **会话劫持防护**
```java
// 绑定客户端指纹
String fingerprint = req.getHeader("User-Agent") + "@" + req.getRemoteAddr();
session.setAttribute("client_fingerprint", sha256(fingerprint));
// 每次请求验证指纹
public boolean validateFingerprint(HttpServletRequest req) {
String current = req.getHeader("User-Agent") + "@" + req.getRemoteAddr();
String stored = (String) req.getSession().getAttribute("client_fingerprint");
return stored != null && stored.equals(sha256(current));
}
```
3. **
Cookie安全属性强化**
```properties
# application.properties配置
server.servlet.session.
cookie.http-only=true
server.servlet.session.
cookie.secure=true
server.servlet.session.
cookie.same-site=lax
```
### 测试流程
1. **登录**
```bash
curl -X POST http://localhost:8080/login \
-d "username=admin&password=admin123" \
-c
cookies.txt
```
2. **访问个人资料**
```bash
curl -b
cookies.txt http://localhost:8080/profile
# 返回：用户: admin 登录时间: 14:30:25 会话ID: D2E5F7...
```
3. **登出**
```bash
curl -X POST -b
cookies.txt http://localhost:8080/logout
```
### 会话存储优化（Redis集成）
```java
// 添加依赖：spring-boot-starter-data-redis
@Configuration
@EnableRedisHttpSession
public class RedisSessionConfig {
@Bean
public LettuceConnectionFactory connectionFactory() {
return new LettuceConnectionFactory(); // 默认连接localhost:6379
}
}
```
> 配置后Session自动存储在Redis，支持分布式扩展
扫一扫
485
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
