一、简介:

Shiro 提供了完整的企业级会话管理功能,不依赖于底层容 器(如web容器tomcat),不管 JavaSE 还是 JavaEE 环境都可以使用,提供了会话管理、会话事件监听、会话存储和持久化、容器无关的集群、失效和过期支持、对Web 的透明支持、SSO 单点登录的支持等特性。

二、会话的API

api 作用
Subject.getSession() 即可获取会话;其等价于 Subject.getSession(true),即如果当前没有创建 Session 对象会创建 一个;Subject.getSession(false),如果当前没有创建 Session 则返回 null
session.getId() 获取当前会话的唯一标识
session.getHost() 获取当前Subject的主机地址
session.getTimeout() 获取当 前Session的过期时间
session.setTimeout(毫秒) 设置当 前Session的过期时间
session.getStartTimestamp() 获取会话的启动时间
session.getLastAccessTime() 获取会话的最后访问时间。如果是 JavaSE 应用需要自己定期调用
session.touch() 更新会话最后访问时间;如果是 Web 应用,每次进入 ShiroFilter 都会自动调用
session.stop() 销毁会话。当Subject.logout()时会自动调用 stop 方法来销毁会话。如果在web中,调用 HttpSession. invalidate() 也会自动调用Shiro Session.stop 方法进行销毁Shiro 的会话
session.setAttribute(key, val) 设置会话属性;在整个会话范围内都可以对这些属性进行操作
session.getAttribute(key) 获取会话属性
session.removeAttribute(key) 删除会话属性

三、会话监听器

会话监听器用于监听会话创建、过期及停止事件。

public class MySessionListener1 implements SessionListener {  

    @Override  
    public void onStart(Session session) { // 会话创建时触发  
        System.out.println("会话创建:" + session.getId());  
    }  
    
    @Override  
    public void onExpiration(Session session) { // 会话过期时触发  
        System.out.println("会话过期:" + session.getId());  
    }  
    
    @Override  
    public void onStop(Session session) { // 退出或会话过期时触发  
        System.out.println("会话停止:" + session.getId());  
    }    
    
} 

四、会话验证

1、 Shiro提供了会话验证调度器,用于定期的验证会话是否已过期,如果过期将停止会话出于性能考虑,一般情况下都是获取会话时来验证会话是否过期并停止会话的;但是如在web环境中,如果用户不主动退出是不知道会话是否过期的,因此需要定期的检测会话是否过期,Shiro提供了会话验证调度器SessionValidationScheduler;

2、 Shiro也提供了使用Quartz会话验证调度器:QuartzSessionValidationScheduler;