shiro 请求去掉jsessionid shiro关闭session管理

整体框架介绍

image.png

我们可以看到这个框架图，我们的整个交互都是与security Manager做交互，而这里面就有一个Session Manager的管理器，Shiro当然内置了实现，我们也可以根据接口拓展其功能，那么下面，我们就来了解一下shiro中关于Session管理的部分内容

DefaultWebSessionManager

这是一个管理器实现类，是shiro提供的可用的结构。

image.png

image.png

上面两个图是该SessionManager的方法，当然，这些方法并不是全部，因为这个默认的管理器其实继承于其他的一些结构，下面是整个sessionManager的UML图

image.png

有关这部分的源码分析，我会在下次有精力的时候用一篇文章更新

Shiro Session中的简单API

获取session对象

Shiro的会话支持不仅可以在普通JavaEE应用中使用，也可以在web应用中使用，且获取方式是一致的。

Subject subject = SecurityUtils.getSubject();
Session session = subject.getSession();
//这个参数用于判定会话不存在时是否创建新会话。
Session session = subject.getSession(boolean create);

可以使用subject.getSession()获取会话，其等价于subject.getSession(true)，即如果当前没有创建Session对象，会创建一个。

获取会话的唯一标识

session.getId();

获取主机地址

session.getHost();

获取当前subject的主机地址，该地址是通过HostAuthenticationToken.getHost()提供的。

设置会话超时时间

//获取超时时间
session.getTimeout();
//设置超时时间
session.setTimeout(毫秒);

获取/设置当前Session的过期时间；如果不设置是默认的会话管理器的全局过期时间。

获取启动/访问时间

//获取会话的启动时间
session.getStartTimestamp();
//获取会话的最后访问时间
session.getLastAccessTime();

获取会话的启动时间和最后访问时间；如果是JavaSE应用需要自己定期调用session.touch()去更新最后访问时间；如果是web应用，每次进入ShiroFilter都会自动调用session.touch()来更新最后访问时间。

更新/删除会话

//更新会话最后访问时间
session.touch();
//销毁session会话
session.stop();

更新会话最后访问时间及销毁会话；当Subject.logout()时会自动调用stop方法来销毁会话的。如果在web中，调用javax.servlet.http.HttpSession. invalidate()也会自动调用Shiro Session.stop方法进行销毁Shiro的会话。

操作会话

session.setAttribute("key", "123");
Assert.assertEquals("123", session.getAttribute("key"));
session.removeAttribute("key");

设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作。

SessionManager负责创建和管理用户Session生命周期，在任何环境下都可以提供用户健壮的session体验。默认情况下，Shiro会使用容器自带的session机制，但若是容器不存在session，那么Shiro会提供内置的企业级session来管理。当然在开发中，也可以使用SessionDAO允许数据源持久化Session。

web容器中的session