由线程安全引起的一个有关Realm问题

最新推荐文章于 2024-10-02 16:23:21 发布

最新推荐文章于 2024-10-02 16:23:21 发布 · 218 阅读

文章标签：

#多线程 #Tomcat

JAVA 专栏收录该内容

10 篇文章

订阅专栏

本文探讨了在Tomcat的Realm实现中如何安全地使用HttpServletRequest对象。由于Realm实例是单例模式，直接保存Request可能导致多线程安全问题。文章提出了一些解决方案并寻求更优的方法。

我的项目里需要给Tomcat写一个 Realm，大家都知道Realm接口里简化如下:


public interface Realm {
    public Principal authenticate(String username, String credentials);
    ...
    public SecurityConstraint [] findSecurityConstraints(Request request, Context context);
    ...
}

为了节省篇幅，把Realm接口简化了一下。由于项目需要必须要在authenticate方法里使用request, 而通过摸索在Realm里只有findSecurityConstraints方法里能得到这个request. 于是我就写了Realm如下:


public class MyRealm extends JAASRealm {
    protected HttpServletRequest request;
    public Principal authenticate(String username, String credentials){
    //在这里使用request。
    }
    ...
    public SecurityConstraint [] findSecurityConstraints(Request request, Context context){
        this.request = request;
        return super.findSecurityConstraints(request, context);
    }
}

这样测试"良好", 似乎是可行的。功能也都能过。
但是高手一看就会发现问题，因为request对象是变化的，并且Realm在整个Tomcat里只有一个实例(至少在只配置一个Realm的时候是这样的，配置多个Realm我还没有试)。这样就导致了request方法对多线程不安全，甚至混乱。
请高手帮着看一下:
[b]
1. 是不是有其他更好的办法在Realm访问request对象?
2. 如果第一个问题是否定的，看有没有办法使这个request安全的被访问?[/b] (我知道用ThreadLocal来解决，还有没有其他办法)
请大家帮忙了。谢谢。