本文探讨了一个在Tomcat服务器上运行的老系统中出现的用户登录信息错乱问题。具体表现为新用户的登录信息覆盖了现有用户的登录状态，导致用户间的数据混淆。问题根源在于系统使用了ThreadLocal来存储用户登录信息，而ThreadLocal虽然线程安全但不具备会话安全性。随着Tomcat线程池中线程的复用，未清理的登录信息导致了后续登录的用户信息错误地覆盖了前一用户的登录状态。
启发于同学处理的bug，他遇到的问题是：
“有三台Tomcat服务器，其中有一台Tomcat服务器出现这种情况：一个用户A登录了系统，如果有新的用户B接着登录系统，会把用户A的登录信息给替换成新用户B的信息。这造成无缘无故看到是别人的昵称和头像。”
原因：这个老旧系统里面使用了ThreadLocal存储用户登录的信息，ThreadLocal是线程安全的，可ThreadLocal不是会话安全的。在Tomcat里面会创建拥有许多线程的线程池，而每条线程被使用后又被Tomcat的线程池收回再利用（只有超过最小空闲才会被回收），线程没有被销毁。
扫一扫
2091
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
