黑马点评1

短信登录

基于Session实现登录流程

发送验证码：
用户在提交手机号后，会校验手机号是否合法，如果不合法，则要求用户重新输入手机号
如果手机号合法，后台此时生成对应的验证码，同时将验证码进行保存，然后再通过短信的方式将验证码发送给用户
短信验证码登录、注册：
用户将验证码和手机号进行输入，后台从session中拿到当前验证码，然后和用户输入的验证码进行校验，如果不一致，则无法通过校验，如果一致，则后台根据手机号查询用户，如果用户不存在，则为用户创建账号信息，保存到数据库，无论是否存在，都会将用户信息保存到session中，方便后续获得当前登录信息
校验登录状态:
用户在请求时候，会从cookie中携带者JsessionId到后台，后台通过JsessionId从session中拿到用户信息，如果没有session信息，则进行拦截，如果有session信息，则将用户信息保存到threadLocal中，并且放行

• 发送验证码

    @Overridepublic Result sendCode(String phone, HttpSession session) {//校验 手机号if (RegexUtils.isPhoneInvalid(phone)) {//不符合return Result.fail("手机号格式不正确");}//生成验证码String code = RandomUtil.randomNumbers(6);//保存到sessionsession.setAttribute("code", code);//发送验证码log.debug("手机号：{}，验证码：{}", phone, code);return Result.ok();}

• 用户登录

    @Overridepublic Result login(LoginFormDTO loginForm, HttpSession session) {//校验手机号String phone = loginForm.getPhone();if (RegexUtils.isPhoneInvalid(phone)) {//不符合return Result.fail("手机号格式不正确");}//校验验证码Object hasSendCode = session.getAttribute("code");String code = loginForm.getCode();if (hasSendCode == null || !hasSendCode.toString().equals(code)) {return Result.fail("验证码不正确");}//校验通过，查询用户User user = this.query().eq("phone", phone).one();if (user == null) {user = createUserWithPhone(phone);}//保存用户信息到sessionsession.setAttribute("user", user);return Result.ok();}private User createUserWithPhone(String phone) {User user = new User();user.setPhone(phone);user.setNickName(USER_NICK_NAME_PREFIX + RandomUtil.randomString(10));this.save(user);return user;}

此时可以正常登录

手机号格式：

• 手机号以 “1” 开头。
• 第二位是一个特定的数字，可以是 3、4、5、6、7、8、9 中的一个。
• 接下来的 9 位数字可以是 0 到 9 的任意数字。

登录拦截

• 添加拦截器设置

public class LoginInterceptor implements HandlerInterceptor {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//获取SessionHttpSession session = request.getSession();//获取用户信息Object user = session.getAttribute("user");if (user == null) {//不存在，拦截，返回401状态码response.setStatus(401);return false;}//存在，保存到ThreadLocal中UserHolder.saveUser((User) user);return true;}
}

• 配置拦截器生效

@Configuration
public class MvcConfig implements WebMvcConfigurer {@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(new LoginInterceptor()).excludePathPatterns("/shop/**","/shop/**","/voucher/**","/shop-type/**","/upload/**","/blog/hot","/user/code","/user/login");}
}

用户信息脱敏

登录的时候修改：

        //保存用户信息到sessionUserDTO userDTO = BeanUtil.copyProperties(user, UserDTO.class);session.setAttribute("user", userDTO);return Result.ok();

拦截器修改：

        //存在，保存到ThreadLocal中UserHolder.saveUser((UserDTO) user);

UserHolder修改 ：

public class UserHolder {private static final ThreadLocal<UserDTO> tl = new ThreadLocal<>();public static void saveUser(UserDTO user){tl.set(user);}public static UserDTO getUser(){return tl.get();}public static void removeUser(){tl.remove();}
}

Session共享

session会存入到tomcat服务器 中，但是后端如果有多个tomcat服务器，就不好 实现数据共享，早期的办法是将 session拷贝到不同 的tomcat服务器上面，现在有了redis，可以直接使用redis来解决session共享的问题，两种存储方式

• 使用string存储
• 使用哈希存储

这里选择使用哈希存储

设计key的时候可以随机 生成一个token给 前端，让前端带着token来访问后端
整体流程如下：

• 修改发送验证码逻辑，保存到redis

    @Overridepublic Result sendCode(String phone, HttpSession session) {//校验 手机号if (RegexUtils.isPhoneInvalid(phone)) {//不符合return Result.fail("手机号格式不正确");}//生成验证码String code = RandomUtil.randomNumbers(6);//保存到sessionstringRedisTemplate.opsForValue().set(LOGIN_CODE_KEY + phone, code, LOGIN_CODE_TTL, TimeUnit.MINUTES);//发送验证码log.debug("手机号：{}，验证码：{}", phone, code);return Result.ok();}

修改登录逻辑,从redis读数据：

    @Overridepublic Result login(LoginFormDTO loginForm, HttpSession session) {//校验手机号String phone = loginForm.getPhone();if (RegexUtils.isPhoneInvalid(phone)) {//不符合return Result.fail("手机号格式不正确");}//从redis中获取验证码String hasSendCode = stringRedisTemplate.opsForValue().get(LOGIN_CODE_KEY + phone);String code = loginForm.getCode();if (hasSendCode == null || !hasSendCode.toString().equals(code)) {return Result.fail("验证码不正确");}//校验通过，查询用户User user = this.query().eq("phone", phone).one();if (user == null) {user = createUserWithPhone(phone);}//保存用户信息到redis中//生成tokenString token = UUID.randomUUID().toString();//将User对象转为HashMap存储UserDTO userDTO = BeanUtil.copyProperties(user, UserDTO.class);Map<String, Object> userMap = BeanUtil.beanToMap(userDTO, new HashMap<>(),CopyOptions.create().setIgnoreNullValue(true).setFieldValueEditor((fieldName, fieldvalue) -> fieldvalue.toString()));//存储String toKenKey = LOGIN_USER_KEY + token;stringRedisTemplate.opsForHash().putAll(toKenKey, userMap);//设置有效期stringRedisTemplate.expire(toKenKey, LOGIN_USER_TTL, TimeUnit.MINUTES);return Result.ok(token);}

解决登录状态刷新问题

目前的拦截机制：

如果访问不需要拦截的路径，这个拦截器不会生效，此时不会刷新令牌

优化方案：
再添加一个拦截器，拦截所有请求

具体代码以及解释 如下 ：

public class RefreshTokenInterceptor implements HandlerInterceptor {private StringRedisTemplate stringRedisTemplate;//这里的构造方法是为了注入StringRedisTemplate，// 因为 RefreshTokenInterceptor 是自己 new 出来的，不是 Spring 管理的public RefreshTokenInterceptor(StringRedisTemplate stringRedisTemplate) {this.stringRedisTemplate = stringRedisTemplate;}@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//获取请求头中的tokenString token = request.getHeader("authorization");if (StrUtil.isBlank(token)) {return true;}//获取redis中的用户String key = LOGIN_USER_KEY + token;Map<Object, Object> userMap = stringRedisTemplate.opsForHash().entries(key);if (userMap.isEmpty()) {//用户不存在return true;}//将hash数据转为UserDTOUserDTO userDTO = BeanUtil.fillBeanWithMap(userMap, new UserDTO(), false);//保存到ThreadLocal中UserHolder.saveUser(userDTO);//刷新token有效期stringRedisTemplate.expire(key, LOGIN_USER_TTL, java.util.concurrent.TimeUnit.DAYS);return true;}@Overridepublic void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {//清空ThreadLocal中的数据  防止内存泄漏UserHolder.removeUser();}
}

配置类里面注入StringRedisTemplate：

@Configuration
public class MvcConfig implements WebMvcConfigurer {@Resourceprivate StringRedisTemplate stringRedisTemplate;@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(new RefreshTokenInterceptor(stringRedisTemplate)).addPathPatterns("/**");registry.addInterceptor(new LoginInterceptor()).excludePathPatterns("/shop/**","/voucher/**","/shop-type/**","/upload/**","/blog/hot","/user/code","/user/login");}
}

登录拦截器修改如下 ：

public class LoginInterceptor implements HandlerInterceptor {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {if (UserHolder.getUser() == null) {//不存在，拦截，返回401状态码response.setStatus(401);return false;}//有用户return true;}
}

至此，黑马点评的登录逻辑完成。