Java会话管理

Question

我正在开发一个小型Web应用程序，很有趣，目前仅使用Java
Servlet。我有两个页面，test1和test2。目前，我正在test1中创建一个新会话，如下所示：

    HttpSession session = request.getSession(true);
    if (session.isNew() == false) {
        session.invalidate();
        session = request.getSession (true);
    }

在test2中，我像这样检索会话：

    HttpSession session = request.getSession(false);
    if (session == null) {
        throw new ServletException ("No session.");
    }

因此，问题在于，如果我先进入test2，我总是会得到一个有效的会话，因为浏览器会创建一个会话。我想限制从test1到test2的流量，因此我必须先进入test1。我的计划是最终创建一个将创建会话的登录页面，但是我在这里看到的问题仍然存在。

我该如何处理？我希望任何想法都不要包含第三方图书馆。我正在将其作为学习练习。

谢谢！

Answer 1

这是没有道理的。忘记了request.getSession(boolean)。只需进行会话request.getSession()，再也不用担心无效性/有效性了。

如果要通过会话属性传递数据，则只需执行以下操作test1：

request.getSession().setAttribute("test", "foo");

和在test2（这是在被请求的过程 相同 会话 之后 test1）：

String test = (String) request.getSession().getAttribute("test"); // Returns "foo".

编辑： 至于使用会话来检查已登录User，只需在登录代码中做类似的事情：

User user = userDAO.find(username, password);
if (user != null) {
    request.getSession().setAttribute("user", user);
} else {
    // Show error?
}

然后在Filter映射到url- pattern代表限制区域的上的，只需检查是否User存在：

if (((HttpServletRequest) request).getSession().getAttribute("user") != null) {
    chain.doFilter(request, response); // Just continue.
} else {
    ((HttpServletResponse) response).sendRedirect("login"); // Not logged-in, redirect to login page.
}

当您注销时，只需User从会话中删除：

request.getSession().removeAttribute("user");

// Or, more drastically:
request.getSession().invalidate();

另外，您还可以看看的声明安全管理集装箱在一些简单的条目的帮助web.xml和server.xml。这样，您无需自己麻烦登录/过滤逻辑。