Redis分散式Session和普通的cookie session有什麼區別？

fishcrazy發表於2023-03-29
Redis分散式SessionCookie

Redis 是一種高效能的快取和 key-value 儲存系統，常被用來實現分散式 Session 的方案。在這種方案中，使用者的登入資訊儲存在 Redis 中，而不是儲存在本地的 cookie 或 session 中。

當使用者在叢集中的不同節點之間切換時，透過讀取 Redis 中的登入資訊，各個節點可以實現登入態的同步。這種方式能夠解決傳統基於 cookie 和 session 的方案中，不同節點之間登入狀態不同步的問題。此外，由於 Redis 的高可用和高效能，使得在分散式環境下，訪問登入資訊時速度更快，同時能夠更好地應對高併發請求的情況。

配置簡單，只需在yml中增加以下配置。

  #session失效時間
session:
  timeout: 86400
  store-type: redis

相比於傳統的基於 cookie 和 session 的方案，使用 Redis 實現分散式 Session 有以下區別：

  1. 資料儲存位置：普通的cookie session將資料儲存在客戶端瀏覽器中，而Redis分散式Session將資料儲存在Redis伺服器中。
  2. 可擴充套件性：Redis分散式Session可以方便地擴充套件應用程式，使得多個應用程式可以共享使用者的Session資料，而普通的cookie session需要在每個應用程式上維護一份Session資料，難以擴充套件。
  3. 高效能：Redis 具有高效能的快取機制，能夠快速讀寫登入資訊，保證在高併發場景下的使用者體驗。
  4. 可靠性：Redis分散式Session使用了Redis的高可用特性，可以提供更高的可靠性，而普通的cookie session在瀏覽器關閉或者清除Cookie的情況下會丟失Session資料。
  5. 跨平臺性：由於 Redis 是基於網路的儲存，能夠跨平臺地進行儲存和讀取登入資訊，提高了應用的可移植性和擴充套件性。
  6. 安全性：Redis分散式Session可以使用更復雜的Session ID 演算法，從而提高Session的安全性，而普通的cookie session則使用簡單的Cookie值作為Session ID，容易受到偽造和攻擊。

雜湊演算法：可以使用SHA-256或SHA-512等雜湊演算法生成唯一的Session ID。這些演算法可以保證唯一性和不可預測性，並且比簡單的隨機數更難以猜測和偽造。另外，可以將一些與使用者相關的資訊，如使用者ID、IP地址、時間戳等，作為雜湊演算法的輸入，進一步增加Session ID的複雜度。

在Java中，我們可以使用雜湊演算法實現更復雜的Session ID演算法。下面是一個使用SHA-256雜湊演算法生成Session ID的示例程式碼：

javaCopy code
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.SecureRandom;

public class SessionIdGenerator {

    public static String generateSessionId() {
        try {
            // 使用SHA-256演算法生成MessageDigest例項
            MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");

            // 生成16個隨機位元組作為Session ID的種子
            SecureRandom secureRandom = new SecureRandom();
            byte[] seed = secureRandom.generateSeed(16);

            // 將種子更新到MessageDigest中
            messageDigest.update(seed);

            // 對MessageDigest的摘要結果進行雜湊計算
            byte[] digest = messageDigest.digest();

            // 將雜湊結果轉換為十六進位制字串作為Session ID
            StringBuilder sb = new StringBuilder();
            for (int i = 0; i < digest.length; i++) {
                sb.append(String.format("%02x", digest[i]));
            }
            return sb.toString();
        } catch (NoSuchAlgorithmException e) {
            // 當指定的演算法不存在時，丟擲異常
            throw new RuntimeException("SHA-256 algorithm not found");
        }
    }
}

在這個示例程式碼中，我們使用SHA-256演算法生成MessageDigest例項，並將16個隨機位元組作為Session ID的種子更新到MessageDigest中。然後對MessageDigest的摘要結果進行雜湊計算，將雜湊結果轉換為十六進位制字串作為Session ID返回。

你可以在需要使用Session ID的地方呼叫generateSessionId()方法來生成Session ID。例如，在Java Web應用程式中，可以在使用者登入時生成Session ID並將其儲存在HttpSession中。

相關文章