秒杀项目中核心功能的实现
秒杀项目-登录中的重难点
一、两次MD5的作用
做法：进行两次加密，调用MD5Util工具类的md5()进行加密。
用户端：Password=MD5（明文+固定的Salt）===用户输入
服务端：Password=MD5（用户输入+随机salt）
主要是考虑到安全问题。第一次MD5，防止明文密码在网络端进行传输。第二次MD5,防止数据库泄露之后，密码被反推，密码被盗。
代码实现
public class MD5Util {
public static String md5(String src){
return DigestUtils.md5Hex(src);//对密码进行加密
}
private static final String salt="1a2b3c4d";
public static String inputPassFormPass(String inputPass){//第一次MD5
String str=""+salt.charAt(0)+salt.charAt(2)+inputPass+salt.charAt(5)+salt.charAt(4);
return md5(str);
}
public static String formPassToDBPass(String formpass,String salt){//第二次MD5
String str=""+salt.charAt(0)+salt.charAt(2)+formpass+salt.charAt(5)+salt.charAt(4);
return md5(str);
}
public static String inputPassToDbPass(String input,String saltDB){//转化为数据库中的密码
String s = inputPassFormPass(input);
String dbpass = formPassToDBPass(s, saltDB);
return dbpass;
}
二、分布式Session一致性的四种解决方案
1、cookie和session的区别和联系
cookie是本地客户端用来存储少量的用户数据信息的，保存在客户端，用户很容易读取，安全性不高，存储的数据量小。
session是服务器端用来存储部分用户数据信息的，保存在服务器，用户不容易获取，安全性高。存储的数据量大，但是保存在服务器端，会占有一定的服务器资源。
2、session有什么用？
在一次客户端与服务端的会话中，客户端向浏览器发送请求，首先cookie会携带上次请求存储的数据（jsessionID）到服务器，服务器根据请求参数中的JessionID去服务器的Session 库中看看有没有这个Jsession, 如果存在，那么服务器就知道此用户是谁，如果不存在，就会创建一个JSESSIONID，并在本次请求结束后将JSESSIONID返回给客户端，同时将此JSESSIONID在客户端cookie中进行保存。
客户端和服务器之间是通过http协议进行通信，但是http协议是无状态的，不同次请求会话是没有任何关联的，但是优点是处理速度快。
session是一次浏览器和服务器的交互的会话，当浏览器关闭的时候，会话就结束了，但是会话session还在，默认session是还要保留30分钟的。
3、分布式Session一致性
客户端发一个请求，经过负载均衡后会被分配到其中任意一个服务器上。但是由于不同的服务器含有不同的web服务器，不同的web服务器就不能发现之前的web服务器保存的session信息，就会再生成一个jsessionID，之前的状态就会丢失。
方案（一）客户端存储
直接将信息存储在cookie中，cookie是存储在客户端上的一小段数据，客户端通过http协议和服务器进行cookie交互，通常用来存储一些不敏感信息。
缺点：不安全，cookie大小，存储类型存在限制 ；而且一次请求中cookie过大，会增加网络的开销。
代码
private static String redisKey = "user:session";
/**
* 登录成功后生成并保存token
*
* @param response
* @param user
* @return
*/
public boolean login(HttpServletResponse response, User user) {
// 验证用户身份
User user = userService.check(……);
// salt值建议做成可配置化
String salt = "";
String token = DigestUtils.md5Hex(user.getName() + salt); //这里token作为用户信息唯一标识
addCookie(response, token);
return true;
}
/**
* 添加至redis和cookie
*
* @param response
* @param token
*/
private void addCookie(HttpServletResponse response, String token) {
redisTemplate.opsForValue().set(redisKey, token, 366, TimeUnit.DAYS);//放入缓存
Cookie cookie = new Cookie("token", token);
cookie.setMaxAge(3600 * 24 * 366); //和Redis缓存失效时间一致
cookie.setPath("/");
response.addCookie(cookie);
}
/**
* 获取已登录的用户信息
* @param response
* @return
*/
public String getByToken(HttpServletResponse response) {
String userinfo = redisTemplate.opsForValue().get(redisKey);
//延长session有效期，过期时间=最后一次使用+失效时间，cookie可以不延长
if (StringUtils.isNotEmpty(userinfo)) {
addCookie(response, userinfo);
}
return userinfo;
}
方案二：session复制
session复制是小型企业应用使用较多的一种服务器集群session管理机制，在真正的开发使用的并不是很多，通过对web服务器(例如Tomcat)进行搭建集群。
存在的问题
session同步的原理是在同一个局域网里面通过发送广播来同步session的，一旦服务器多了，并发上来了，session需要同步的数据量就大了，需要将其他服务器上的session全部同步到本服务器上，会带来一定的网路开销，在用户量特别大的时候，会出现内存不足的情况
优点
服务器之间的session信息都是同步的，任何一台服务器宕机的时候不会影响另外服务器中session的状态，配置相对简单。
Tomcat内部已经支持分布式架构开发管理机制，可以对tomcat修改配置来支持session复制，在集群中的几台服务器之间同步session对象，使每台服务器上都保存了所有用户的session信息，这样任何一台本机宕机都不会导致session数据的丢失，而服务器使用session时，也只需要在本机获取即可。
方案三：session绑定
Nginx是一款自由的、开源的、高性能的http服务器和反向代理服务器。
Nginx能做什么？
反向代理、负载均衡、http服务器（动静代理）、正向代理
如何使用nginx进行session绑定
我们利用nginx的反向代理和负载均衡，之前是客户端会被分配到其中一台服务器进行处理，具体分配到哪台服务器进行处理还得看服务器的负载均衡算法(轮询、随机、ip-hash、权重等)，但是我们可以基于nginx的ip-hash策略，可以对客户端和服务器进行绑定，同一个客户端就只能访问该服务器，无论客户端发送多少次请求都被同一个服务器处理。
在nginx安装目录下的conf目录中的nginx.conf文件
upstream aaa {
Ip_hash;
server 39.105.59.4:8080;
Server 39.105.59.4:8081;
}
server {
listen80;
server_name www.wanyingjing.cn;
#root /usr/local/nginx/html;
#index index.html index.htm;
location / {
proxy_pass http:39.105.59.4;
index index.html index.htm;
}
}
缺点
容易造成单点故障，如果有一台服务器宕机，那么该台服务器上的session信息将会丢失。
前端不能有负载均衡，如果有，session绑定将会出问题。
优点
配置简单
方案四：基于redis存储session方案
原理是使用Redis作为session存储容器，登录时将session信息存储至cookie客户端，同时服务端将session信息存至redis缓存，双重保障，接下来的接口调用直接可以获取到cookie中的token信息作为参数传递进来即可，如果发现token为空，则再从redis中获取，如果两者都为空，则说明session已过期。
本项目采用的是方案四
我们是这样做的。
第一次登陆的时候，会随机产生一个Token字符串,并向cookie中加入Token,在Redis中记录Token与用户信息的映射。Key值为：MiaoShaUserKey:”fjfnernrejfnejnf”。Value：是一个User对象。get MiaoshaUserKey:tk24aaa7309a7d44b1bf7eee9a99045bd0 {"id":15700761667,"lastLoginDate":1627360841000,"loginCount":1,"nickname":"heyuan","password":"b7797cce01b4b131b433b6acf4add449","registerDate":1626237634000,"salt":"1a2b3c4d"}"
客户端随后访问服务端的时候携带Cookie,服务端取出cookie中字段值，访问Redis,就能得到用户的相关信息。
代码
/*
登录功能的实现
*/
public boolean login(HttpServletResponse response, LoginVo loginVo){
if(loginVo==null){
throw new GlobalException(CodeMsg.SERVER_ERROR);
//return CodeMsg.SERVER_ERROR;
}
String mobile = loginVo.getMobile();
String password = loginVo.getPassword();
//判断手机号是否存在
MiaoshaUser user=getById(Long.parseLong(mobile));//手机号String 转换为Long
if(user==null){
throw new GlobalException(CodeMsg.MOBILE_NOT_EXIST);
// return CodeMsg.MOBILE_NOT_EXIST;//手机号码不存在
}
//验证密码
String dbpass = user.getPassword();//数据库得到的密码
String saltDB = user.getSalt();//
String calcPass = MD5Util.formPassToDBPass(password, saltDB);//
if(!calcPass.equals(dbpass)){//用户输入的密码进行加密然后与数据库的密码进行比较
throw new GlobalException(CodeMsg.PASSWORD_ERROR);
// return CodeMsg.PASSWORD_ERROR;//输入密码错误
}
//生成cookie
//1生成token
String token= UUIDUtil.uuid();
//2生成cookie
addCookie(response,user,token);
return true;
}
/*
往缓存里添加该值；
生成一个新的cookie：包含Token，以及用户信息
有效期设置为永不过期。就是登陆一次，就可以一直地访问，不用担心Cookie过期。
*/
private void addCookie(HttpServletResponse response,MiaoshaUser user,String token){
//1、将Token与用户的映射信息加入缓存
redisService.set(MiaoshaUserKey.token,token,user);//放user进入redis缓存，取名为token
//2、生成cookie
Cookie cookie = new Cookie(COOKIE_NAME_TOKEN, token);
cookie.setMaxAge(MiaoshaUserKey.token.expireSeconds());//设置有效期
cookie.setPath("/");
//3、将cookie返回给客户端
response.addCookie(cookie);//
}
@Service
public class UserArgumentResolver implements HandlerMethodArgumentResolver {
@Autowired
MiaoshaUserService userService;
@Override
public boolean supportsParameter(MethodParameter methodParameter) {
Class<?>clazz= methodParameter.getParameterType();
return clazz== MiaoshaUser.class;
}
/*
一种获取session的方式
从请求中获取用户信息 getToken()
*/
public Object resolveArgument(MethodParameter parameter, ModelAndViewContainer mavContainer,
NativeWebRequest webRequest, WebDataBinderFactory binderFactory) throws Exception {
HttpServletRequest request = webRequest.getNativeRequest(HttpServletRequest.class);
HttpServletResponse response = webRequest.getNativeResponse(HttpServletResponse.class);
String paramToken=request.getParameter(MiaoshaUserService.COOKIE_NAME_TOKEN);//从请求中获得token
String cookieToken=getCookieValue(request, MiaoshaUserService.COOKIE_NAME_TOKEN);
if(StringUtils.isEmpty(cookieToken) && StringUtils.isEmpty(paramToken)){
return null;
}
String token=StringUtils.isEmpty(paramToken)?cookieToken:paramToken;//如果paramToken参数为空，那么token就是cookieToken
return userService.getByToken(response,token);//该token就是从cookie中拿到的token.
}
public String getCookieValue(HttpServletRequest request,String cookieName){
Cookie[] cookies=request.getCookies();
for(Cookie cookie:cookies){
if(cookie.getName().equals(cookieName)){
return cookie.getValue();
}
}
return null;
}
}
@Configuration
public class WebConfig extends WebMvcConfigurerAdapter {
@Autowired
UserArgumentResolver userArgumentResolver;
/*
框架会回调这个方法。把response，等参数添加进去
*/
@Override
public void addArgumentResolvers(List<HandlerMethodArgumentResolver> argumentResolvers) {
argumentResolvers.add(userArgumentResolver);
}
}
/*
获得Token
*/
public MiaoshaUser getByToken( HttpServletResponse response,String token) {
if(StringUtils.isEmpty(token)) {
return null;
}
//System.out.println(redisService.get(MiaoshaUserKey.token, token, MiaoshaUser.class));//拿到的是Miaoshauser的地址
MiaoshaUser user= redisService.get(MiaoshaUserKey.token,token,MiaoshaUser.class);
//延长有效期。当我们10点访问的时候，cookie在10点30过期。但是在10点10分访问的时候，那么就在10点40过期了。实现
if(user!=null){
addCookie(response,user,token);
}
return user;
}
