1. 背景與問題

在無狀態(tài)的 HTTP 協(xié)議下，Web 應(yīng)用通常使用 Session 或 Token 機制來維持用戶的登錄狀態(tài)。在 Spring Boot 后端開發(fā)中，面臨兩個核心問題：

1. 統(tǒng)一校驗：如何在請求到達(dá)業(yè)務(wù)邏輯之前，統(tǒng)一攔截未登錄請求，避免在每個 Controller 方法中重復(fù)編寫校驗代碼？
2. 上下文共享：在 Controller、Service 甚至 Dao 層中，如何優(yōu)雅地獲取當(dāng)前登錄用戶的信息，而不需要層層傳遞 User 對象參數(shù)？

這里介紹登錄 + 攔截器 (Interceptor) + 線程本地變量 (ThreadLocal)”

2. 架構(gòu)設(shè)計

該方案的流程如下：

1. 登錄接口：負(fù)責(zé)認(rèn)證身份，并將用戶信息存入 HttpSession。
2. 攔截器 (preHandle)：在請求進(jìn)入 Controller 之前攔截。校驗 Session 中是否存在用戶信息。
   • 若存在：將用戶信息讀取并存入當(dāng)前線程的 ThreadLocal 中，放行。
   • 若不存在：攔截請求，返回 401 狀態(tài)碼。
3. 業(yè)務(wù)層 (Controller/Service)：需要用戶信息時，直接從 ThreadLocal 中獲取，無需依賴 Session API。
4. 攔截器 (afterCompletion)：請求結(jié)束，響應(yīng)返回前，移除 ThreadLocal 中的用戶信息，防止內(nèi)存泄漏。

3. 代碼實現(xiàn)步驟

3.1 封裝 ThreadLocal 工具類 (UserHolder)

為了在同一線程內(nèi)共享數(shù)據(jù)，我們需要封裝一個基于 ThreadLocal 的工具類。它充當(dāng)了線程內(nèi)全局容器的角色。

public class UserHolder {
    // 使用 ThreadLocal 保存用戶信息，UserDTO 為脫敏后的用戶對象
    private static final ThreadLocal<UserDTO> tl = new ThreadLocal<>();

    // 保存用戶
    public static void saveUser(UserDTO user){
        tl.set(user);
    }

    // 獲取用戶
    public static UserDTO getUser(){
        return tl.get();
    }

    // 移除用戶（防止內(nèi)存泄漏的關(guān)鍵）
    public static void removeUser(){
        tl.remove();
    }
}

3.2 自定義登錄攔截器 (LoginInterceptor)

攔截器實現(xiàn) HandlerInterceptor 接口，負(fù)責(zé)“校驗”和“上下文傳遞”。

public class LoginInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 1. 獲取 Session
        HttpSession session = request.getSession();
        
        // 2. 獲取 Session 中的用戶
        Object user = session.getAttribute("user");
        
        // 3. 校驗用戶是否存在
        if (user == null) {
            // 4. 不存在，攔截，設(shè)置狀態(tài)碼 401 (未授權(quán))
            response.setStatus(401);
            return false;
        }
        
        // 5. 存在，將用戶信息保存到 ThreadLocal
        // 這一步實現(xiàn)了從 Web 層 (Session) 到 業(yè)務(wù)層 (ThreadLocal) 的狀態(tài)轉(zhuǎn)移
        UserHolder.saveUser((UserDTO) user);
        
        // 6. 放行
        return true;
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        // 7. 必須移除用戶，避免線程池復(fù)用導(dǎo)致的“數(shù)據(jù)串號”和內(nèi)存泄漏
        UserHolder.removeUser();
    }
}

3.3 注冊攔截器 (MvcConfig)

通過實現(xiàn) WebMvcConfigurer 接口，將自定義攔截器注冊到 Spring MVC 的攔截鏈中，并配置攔截路徑。

@Configuration
public class MvcConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new LoginInterceptor())
                .excludePathPatterns(
                        "/user/code",   // 發(fā)送驗證碼
                        "/user/login",  // 登錄接口
                        "/blog/hot",    // 熱門博客
                        "/shop/**",     // 店鋪詳情
                        "/shop-type/**" // 店鋪類型
                ).order(1);
    }
}

3.4 業(yè)務(wù)層獲取用戶信息 (/user/me)

在 Controller 中，我們不再需要操作 HttpSession 或 HttpServletRequest，直接調(diào)用 UserHolder 即可。

@GetMapping("/me")
public Result me(){
    // 直接從 ThreadLocal 獲取當(dāng)前請求關(guān)聯(lián)的用戶信息
    UserDTO user = UserHolder.getUser();
    return Result.ok(user);
}

4. 組件關(guān)系

這套機制中，各組件的職責(zé)與關(guān)系如下：

4.1 攔截器 (Interceptor) 與 Session 的關(guān)系

• 關(guān)系：讀取者與存儲者。
• 解析：Session 是由 Tomcat 容器管理的服務(wù)器內(nèi)存存儲。攔截器作為請求處理的第一道關(guān)卡，負(fù)責(zé)從 Session 中讀取狀態(tài)。攔截器并不產(chǎn)生用戶數(shù)據(jù)，它只是校驗 Session 中是否已由登錄接口寫入了數(shù)據(jù)。

4.2 攔截器 (Interceptor) 與 ThreadLocal 的關(guān)系

• 關(guān)系：生產(chǎn)者與容器。
• 解析：這是本架構(gòu)最精妙的地方。攔截器在 preHandle 階段充當(dāng)“搬運工”，將 Session 中的數(shù)據(jù)（Web 作用域）復(fù)制到 ThreadLocal（線程作用域）。這使得后續(xù)的 Service 層代碼可以完全脫離 javax.servlet API，實現(xiàn)了業(yè)務(wù)邏輯與 Web 容器的解耦。

4.3 Controller/Service 與 ThreadLocal 的關(guān)系

• 關(guān)系：消費者與容器。
• 解析：Controller 或 Service 層完全不需要知道攔截器的存在，也不需要知道數(shù)據(jù)是從 Session 來的還是 Token 來的。它們只需要信任 UserHolder，認(rèn)為“只要代碼執(zhí)行到這里，UserHolder 里一定有當(dāng)前用戶”，從而簡化了代碼邏輯。

5. 總結(jié)

實現(xiàn)這套登錄校驗攔截機制，本質(zhì)上是為了解決兩個工程化問題：

1. 安全性（Secur11ity）：通過攔截器實現(xiàn)統(tǒng)一的權(quán)限控制，防止未登錄用戶訪問受保護(hù)資源。
2. 代碼解耦（Decoupling）：利用 ThreadLocal 替代參數(shù)傳遞，使得用戶信息可以在同一請求線程的任意位置被訪問，極大地提高了代碼的可維護(hù)性。

在后續(xù)的分布式演進(jìn)中（如引入 Redis），我們只需要修改 登錄接口（存 Redis） 和 攔截器（查 Redis） 的邏輯，而業(yè)務(wù)層獲取用戶信息的代碼（UserHolder.getUser()）完全不需要改動，這體現(xiàn)了良好的架構(gòu)擴(kuò)展性。

以上就是SpringBoot基于攔截器與ThreadLocal實現(xiàn)用戶登錄校驗的詳細(xì)內(nèi)容，更多關(guān)于SpringBoot用戶登錄校驗的資料請關(guān)注腳本之家其它相關(guān)文章！

最新評論