1.request session Դ?源码?
2.Laravel Session 源码解析
3.SpringSecurity中的核心过滤器介绍

request session Դ??

       对于一个帐号在同一时间只能一个人登录，可以通过下面的源码方法实现：

       1 ．在用户登录时，把用户添加到一个ArrayList中

       2 ．再次登录时查看ArrayList中有没有该用户，源码如果ArrayList中已经存在该用户，源码则阻止其登录

       3 ．当用户退出时，源码需要从该ArrayList中删除该用户，源码幸运夺宝源码这又分为三种情况

       ① 使用注销按钮正常退出

       ② 点击浏览器关闭按钮或者用Alt+F4退出，源码可以用javascript捕捉该页面关闭事件，源码

       执行一段java方法删除ArrayList中的源码用户

       ③ 非正常退出，比如客户端系统崩溃或突然死机，源码可以采用隔一段时间session没活动就删除该session所对应的源码用户来解决，这样用户需要等待一段时间之后就可以正常登录。源码进制转化源码

       在LoginAction中定义：

       // 用来在服务器端存储登录的源码所有帐号

       public static List logonAccounts;

       login() 登录方法中：

       // 设置session不活动时间为分

       request.getSession().setMaxInactiveInterval(*);

       if(logonAccounts==null){

        logonAccounts = new ArrayList();

       }

       // 查看ArrayList中有没有该用户

       for (int i = 0; i < logonAccounts.size(); i++) {

        Account existAccount = (Account)logonAccounts.get(i);

        if(account.getAccountId().equals(existAccount.getAccountId())){

        return "denied";

        }

       }

       // 在用户登录时，把sessionId添加到一个account对象中

       // 在后面 ③ 需要根据此sessionId删除相应用户

       account.setSessionId(request.getSession().getId());

       // 该用户保存到ArrayList静态类变量中

       logonAccounts.add(account);

       return "login";

       ① 使用注销按钮正常退出

       logout() 退出方法中：

       if(logonAccounts==null){

        logonAccounts = new ArrayList();

       }

       // 删除ArrayList中的源码用户 ⑴

       for (int i = 0; i < logonAccounts.size(); i++) {

        Account existAccount = (Account)logonAccounts.get(i);

        if(account.getAccountId().equals(existAccount.getAccountId())){

        logonAccounts.remove(account);

        }

       }

       ② 点击浏览器关闭按钮或者用Alt+F4退出：

       在后台弹出一个窗口，在弹出窗口中删除ArrayList中的源码用户

       function window.onbeforeunload(){

       // 是否通过关闭按钮或者用Alt+F4退出

       // 如果为刷新触发onbeforeunload事件，下面if语句不执行

        if (event.clientX>document.body.clientWidth && event.clientY<0||event.altKey){

        window.open('accountUnbound.jsp','',

        'height=0,width=0,top=,left=')

        }

       }

       accountUnbound.jsp : 弹出窗口中删除ArrayList中的用户

       <%

        Account account = (Account) request.getSession().getAttribute("account");

        if(account != null){

        if(LoginAction.logonAccounts==null){

        LoginAction.logonAccounts = new ArrayList();

        }

        // 删除ArrayList中的用户——下面代码和上面的 ⑴ 处一样

        for (int i = 0; i < logonAccounts.size(); i++) {

        Account existAccount = (Account)logonAccounts.get(i);

        if(account.getAccountId().equals(existAccount.getAccountId())){

        logonAccounts.remove(account);

        }

        }

        }

       %>

       为了保证上面代码可以执行完毕，3秒后关闭此弹出窗口（也位于accountUnbound.jsp中）

       <script>

       setTimeout("closeWindow();",);

       function closeWindow(){

        window.close();

       }

       </script>

       ③ 使LoginAction 实现implements HttpSessionListener，并实现sessionCreated，sessionDestroyed方法，在sessionDestroyed中删除ArrayList中的用户（用户超过分钟不活动则执行此方法）

       public void sessionDestroyed(HttpSessionEvent event) {

        // 取得不活动时的sessionId,并根据其删除相应logonAccounts中的用户

        String sessionId = event.getSession().getId();

        for (int i = 0; i < logonAccounts.size(); i++) {

        Account existAccount = (Account)logonAccounts.get(i);

        if(account.getSessionId().equals(existAccount.getSessionId())){

        logonAccounts.remove(account);

        }

        }

       }

       注：

       对于上面的，由于弹出窗口很容易被防火墙或者安全软件阻拦，造成无法弹出窗口，从而短时间不能登录，熔断源码免费这种情况可以用AJAX来代替弹出窗口，同样在后台执行删除用户的那段代码，却不会受到防火墙限制：

       <script>

        // <![CDATA[

        var http_request = false;

        function makeRequest(url) {

        http_request = false;

        if (window.XMLHttpRequest) { // Mozilla, Safari,...

        http_request = new XMLHttpRequest();

        if (http_request.overrideMimeType) {

        http_request.overrideMimeType('text/xml');

        }

        } else if (window.ActiveXObject) { // IE

        try {

        http_request = new ActiveXObject("Msxml2.XMLHTTP");

        } catch (e) {

        try {

        http_request = new ActiveXObject("Microsoft.XMLHTTP");

        } catch (e) {

        }

        }

        }

        if (!http_request) {

        alert('Giving up :( Cannot create an XMLHTTP instance');

        return false;

        }

        http_request.onreadystatechange = alertContents;

        http_request.open('GET', url, true);

        http_request.send(null);

       }

        function alertContents() {

        if (http_request.readyState == 4) {

        if (http_request.status == ) {

        window.close();

        } else {

        alert('There was a problem with the request.');

        }

        }

       }

        function window. onbeforeunload() {

        makeRequest ('accountUnbound.jsp');

        }

        //]]>

       </script>

Laravel Session 源码解析

       Laravel的Session服务是为了解决HTTP协议的无状态性问题，通过在客户端和服务器之间共享用户数据。Session的核心是Session Manager，它负责管理各种后台驱动程序的创建和访问。SessionServiceProvider在框架启动时注册Session服务，其中包括SessionManager、SessionHandler和StartSession中间件的创建。

       SessionManager通过创建器实例化不同的驱动器，如文件、java源码注解数据库或Redis等，这些驱动器通过SessionHandler统一访问数据存储。开发者通过Session门面或$request->session()调用的session方法，实际上是通过SessionManager转发给对应的驱动器执行相应的操作。

       数据的加载和持久化由StartSession中间件处理。在每次请求进入时，它会启动Session，设置session id到客户端的Cookie中，若使用CookieSessionHandler，还会将session数据存入Cookie。响应发送后，题库分类源码非CookieSessionHandler的驱动器会在terminate方法中进行数据持久化，但具体原因可能在Cookie服务的源码中能找到答案。

       整个Session机制确保了用户状态在请求间的连续性，但具体实现细节涉及StartSession中间件的配置和驱动器的交互。更多深入的源码分析，可参考系列文章。

SpringSecurity中的核心过滤器介绍

       本文将介绍SpringSecurity中常用的过滤器及其加载过程。

       一、常用的过滤器

       常用的过滤器共有个，具体如下：

       1. org.springframework.security.web.context.SecurityContextPersistenceFilter：这是第一个过滤器，其重要性不言而喻。它主要使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext提供给后续过滤器使用，为后续filter建立所需的上下文。SecurityContext中存储了当前用户的认证和权限信息。

       2. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter：此过滤器用于继承SecurityContext到Spring异步执行机制中的WebAsyncManager，是spring整合必须的。

       3. org.springframework.security.web.header.HeaderWriterFilter：向请求的header中添加响应的信息，可以在http标签内部使用security:headers来控制。

       4. org.springframework.security.web.csrf.CsrfFilter：Csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含则报错，起到防止csrf攻击的效果。

       5. org.springframework.security.web.authentication.logout.LogoutFilter：匹配URL为/logout的请求，实现用户退出，清除认证信息。

       6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter：认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。

       7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter：如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认的认证界面。

       8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter：由此过滤器生成一个默认的退出登录页面。

       9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter：此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头部信息。

       . org.springframework.security.web.savedrequest.RequestCacheAwareFilter：通过HttpSessionRequestCache内部维护一个RequestCache，用于缓存HttpServletRequest。

       . org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter：针对ServletRequest进行一次包装，使得request具有更加丰富的API。

       . org.springframework.security.web.authentication.AnonymousAuthenticationFilter：当SecurityContextHolder中认证信息为空，则会创建一个匿名用户存储到SecurityContextHolder中，SpringSecurity为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。

       . org.springframework.security.web.session.SessionManagementFilter：SecurityContextRepository限制同一个用户开启多个会话的数量。

       . org.springframework.security.web.access.ExceptionTranslationFilter：异常转换过滤器位于整个SpringSecurityFilterChain的后方，用来转换整个链路中出现的异常。

       . org.springframework.security.web.access.intercept.FilterSecurityInterceptor：获取所有配置资源的访问授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权限。

       二、过滤器加载过程

       1. DelegatingFilterProxy：我们在web.xml中配置了一个名称为SpringSecurityFilterChain的过滤器DelegatingFilterProxy，接下来可以查看该源码。

       2. FilterChainProxy：通过上面的源码分析我们发现其实创建的是FilterChainProxy这个过滤器，那我们来看下这个过滤器。

       3. SecurityFilterChain和DefaultSecurityFilterChain：具体的实现类。

       总结：通过上面的代码分析，SpringSecurity中要使用到的过滤器最终都保存在了DefaultSecurityFilterChain对象的List filter对象中。