1. 背景與問(wèn)題

在無(wú)狀態(tài)的 HTTP 協(xié)議下，Web 應(yīng)用通常使用 Session 或 Token 機(jī)制來(lái)維持用戶的登錄狀態(tài)。在 Spring Boot 后端開(kāi)發(fā)中，面臨兩個(gè)核心問(wèn)題：

1. 統(tǒng)一校驗(yàn)：如何在請(qǐng)求到達(dá)業(yè)務(wù)邏輯之前，統(tǒng)一攔截未登錄請(qǐng)求，避免在每個(gè) Controller 方法中重復(fù)編寫(xiě)校驗(yàn)代碼？
2. 上下文共享：在 Controller、Service 甚至 Dao 層中，如何優(yōu)雅地獲取當(dāng)前登錄用戶的信息，而不需要層層傳遞 User 對(duì)象參數(shù)？

這里介紹登錄 + 攔截器 (Interceptor) + 線程本地變量 (ThreadLocal)”

2. 架構(gòu)設(shè)計(jì)

該方案的流程如下：

1. 登錄接口：負(fù)責(zé)認(rèn)證身份，并將用戶信息存入 HttpSession。
2. 攔截器 (preHandle)：在請(qǐng)求進(jìn)入 Controller 之前攔截。校驗(yàn) Session 中是否存在用戶信息。
   • 若存在：將用戶信息讀取并存入當(dāng)前線程的 ThreadLocal 中，放行。
   • 若不存在：攔截請(qǐng)求，返回 401 狀態(tài)碼。
3. 業(yè)務(wù)層 (Controller/Service)：需要用戶信息時(shí)，直接從 ThreadLocal 中獲取，無(wú)需依賴 Session API。
4. 攔截器 (afterCompletion)：請(qǐng)求結(jié)束，響應(yīng)返回前，移除 ThreadLocal 中的用戶信息，防止內(nèi)存泄漏。

3. 代碼實(shí)現(xiàn)步驟

3.1 封裝 ThreadLocal 工具類 (UserHolder)

為了在同一線程內(nèi)共享數(shù)據(jù)，我們需要封裝一個(gè)基于 ThreadLocal 的工具類。它充當(dāng)了線程內(nèi)全局容器的角色。

public class UserHolder {
    // 使用 ThreadLocal 保存用戶信息，UserDTO 為脫敏后的用戶對(duì)象
    private static final ThreadLocal<UserDTO> tl = new ThreadLocal<>();

    // 保存用戶
    public static void saveUser(UserDTO user){
        tl.set(user);
    }

    // 獲取用戶
    public static UserDTO getUser(){
        return tl.get();
    }

    // 移除用戶（防止內(nèi)存泄漏的關(guān)鍵）
    public static void removeUser(){
        tl.remove();
    }
}

3.2 自定義登錄攔截器 (LoginInterceptor)

攔截器實(shí)現(xiàn) HandlerInterceptor 接口，負(fù)責(zé)“校驗(yàn)”和“上下文傳遞”。

public class LoginInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 1. 獲取 Session
        HttpSession session = request.getSession();
        
        // 2. 獲取 Session 中的用戶
        Object user = session.getAttribute("user");
        
        // 3. 校驗(yàn)用戶是否存在
        if (user == null) {
            // 4. 不存在，攔截，設(shè)置狀態(tài)碼 401 (未授權(quán))
            response.setStatus(401);
            return false;
        }
        
        // 5. 存在，將用戶信息保存到 ThreadLocal
        // 這一步實(shí)現(xiàn)了從 Web 層 (Session) 到 業(yè)務(wù)層 (ThreadLocal) 的狀態(tài)轉(zhuǎn)移
        UserHolder.saveUser((UserDTO) user);
        
        // 6. 放行
        return true;
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        // 7. 必須移除用戶，避免線程池復(fù)用導(dǎo)致的“數(shù)據(jù)串號(hào)”和內(nèi)存泄漏
        UserHolder.removeUser();
    }
}

3.3 注冊(cè)攔截器 (MvcConfig)

通過(guò)實(shí)現(xiàn) WebMvcConfigurer 接口，將自定義攔截器注冊(cè)到 Spring MVC 的攔截鏈中，并配置攔截路徑。

@Configuration
public class MvcConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new LoginInterceptor())
                .excludePathPatterns(
                        "/user/code",   // 發(fā)送驗(yàn)證碼
                        "/user/login",  // 登錄接口
                        "/blog/hot",    // 熱門(mén)博客
                        "/shop/**",     // 店鋪詳情
                        "/shop-type/**" // 店鋪類型
                ).order(1);
    }
}

3.4 業(yè)務(wù)層獲取用戶信息 (/user/me)

在 Controller 中，我們不再需要操作 HttpSession 或 HttpServletRequest，直接調(diào)用 UserHolder 即可。

@GetMapping("/me")
public Result me(){
    // 直接從 ThreadLocal 獲取當(dāng)前請(qǐng)求關(guān)聯(lián)的用戶信息
    UserDTO user = UserHolder.getUser();
    return Result.ok(user);
}

4. 組件關(guān)系

這套機(jī)制中，各組件的職責(zé)與關(guān)系如下：

4.1 攔截器 (Interceptor) 與 Session 的關(guān)系

• 關(guān)系：讀取者與存儲(chǔ)者。
• 解析：Session 是由 Tomcat 容器管理的服務(wù)器內(nèi)存存儲(chǔ)。攔截器作為請(qǐng)求處理的第一道關(guān)卡，負(fù)責(zé)從 Session 中讀取狀態(tài)。攔截器并不產(chǎn)生用戶數(shù)據(jù)，它只是校驗(yàn) Session 中是否已由登錄接口寫(xiě)入了數(shù)據(jù)。

4.2 攔截器 (Interceptor) 與 ThreadLocal 的關(guān)系

• 關(guān)系：生產(chǎn)者與容器。
• 解析：這是本架構(gòu)最精妙的地方。攔截器在 preHandle 階段充當(dāng)“搬運(yùn)工”，將 Session 中的數(shù)據(jù)（Web 作用域）復(fù)制到 ThreadLocal（線程作用域）。這使得后續(xù)的 Service 層代碼可以完全脫離 javax.servlet API，實(shí)現(xiàn)了業(yè)務(wù)邏輯與 Web 容器的解耦。

4.3 Controller/Service 與 ThreadLocal 的關(guān)系

• 關(guān)系：消費(fèi)者與容器。
• 解析：Controller 或 Service 層完全不需要知道攔截器的存在，也不需要知道數(shù)據(jù)是從 Session 來(lái)的還是 Token 來(lái)的。它們只需要信任 UserHolder，認(rèn)為“只要代碼執(zhí)行到這里，UserHolder 里一定有當(dāng)前用戶”，從而簡(jiǎn)化了代碼邏輯。

5. 總結(jié)

實(shí)現(xiàn)這套登錄校驗(yàn)攔截機(jī)制，本質(zhì)上是為了解決兩個(gè)工程化問(wèn)題：

1. 安全性（Secur11ity）：通過(guò)攔截器實(shí)現(xiàn)統(tǒng)一的權(quán)限控制，防止未登錄用戶訪問(wèn)受保護(hù)資源。
2. 代碼解耦（Decoupling）：利用 ThreadLocal 替代參數(shù)傳遞，使得用戶信息可以在同一請(qǐng)求線程的任意位置被訪問(wèn)，極大地提高了代碼的可維護(hù)性。

在后續(xù)的分布式演進(jìn)中（如引入 Redis），我們只需要修改 登錄接口（存 Redis） 和 攔截器（查 Redis） 的邏輯，而業(yè)務(wù)層獲取用戶信息的代碼（UserHolder.getUser()）完全不需要改動(dòng)，這體現(xiàn)了良好的架構(gòu)擴(kuò)展性。

以上就是SpringBoot基于攔截器與ThreadLocal實(shí)現(xiàn)用戶登錄校驗(yàn)的詳細(xì)內(nèi)容，更多關(guān)于SpringBoot用戶登錄校驗(yàn)的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！

最新評(píng)論