摘要: 分布式Session的实现有很多，从简单到复杂各种各样，但是要做到分布式Session跟原生本地Session一致的API，对开发人员几乎是0门槛是不容易的。SpringSession 提供了现成的分布式Session功能，本文就是介绍SpringSession的实现细节
1. 概要
本文介绍SpringSession的主要功能的实现原理。在看源码的同时参照SpringSession开了一个“简化”版的Session框架--SimpleSession，简单好用，功能刚好够用，由于删除了很多SpringSession种用不到的功能，源码上可读性更好和自定义开发更容易。
2. 替代本地原生Session的秘密
几乎所有的方案都类似，使用 Filter 把请求拦截掉然后包装 Request 和 Response 使得 Request.getSession 返回的 Session 也是包装过的，改变了原有 Session 的行为，譬如存储属性值是把属性值存储在 **Redis** 中，这样就实现了`分布式Session`了。
SpringSession 使用 SessionRepositoryFilter 这个过滤器来实现上面所说的。
SimpleSession 使用 SimpleSessionFilter 来实现。
2.1 SessionRepositoryFilter
包装的类是 SessionRepositoryResponseWrapper 和 SessionRepositoryRequestWrapper 对应 Response和 Request。
2.2 SessionRepositoryResponseWrapper
继承自 OnCommittedResponseWrapper 主要目标就是一个，当 Response 输出完毕后调用 commit。
2.3 SessionRepositoryRequestWrapper
这个类功能比较多，因为要改变原有很多跟 Session 的接口，譬如 getSession、isRequestedSessionIdValid等。
当然最重要的是 getSession 方法，返回的 Session 是经包装的。
2.3.1 getSession
这里涉及到 Session 和 Repository 下面介绍。
2.3.2 commitSession
由于现在的 Session 跟之前的已经完全不同，存储属性值更新属性值都是远程操作，使用"懒操作"模式可以使得频繁的操作更加有效率。
这里 onInvalidateSession 和 onNewSession 都是 Strategy 的方法，根据不一样的策略采取的处理也不一样。
Strategy 有:
- CookieHttpSessionStrategy
- HeaderHttpSessionStrategy
2.4 Session
SpringSession 的 session 有两部分组成：
- Session: 接口, 默认实现类 MapSession , 它是 session 的本地对象，存储着属性及一些特征（如：lastAccessedTime）, 最终会被同步到远端, 以及从远端获取下来后存储在本地的实体。
- HttpSessionAdapter: 为了能让 Session 跟 HttpSession 接洽起来而设立的适配器。
2.5 Repository
各种实现，最典型用得最多的就是 RedisOperationsSessionRepository, 下面整个第3章（Spring Session Redis存储结构）就是讲整个类存储的策略和设计。
3. Spring Session Redis存储结构
session在存储时分为:
- session本身的一些属性存储
- 专门负责用于过期的key存储
- 以时间为key存储在该时间点需要过期的sessionId列表
3.1 为什么需要三个存储结构?
先说明第二存储是用来干嘛的，第二存储一般设置成session的过期时间如30分钟或者15分钟，同时session的客户端会注册一个redis的key过期事件的监听，一旦有key过期客户端有会事件响应和处理。
在处理事件时可能会需要该session的信息，这时候第一个存储就有用了，因此第一个存储的过期时间会比第二存储过期时间多1-3min，这就是为什么需要把属性存储和过期分开的原因。
那第三个session的用处呢？对`Redis`比较熟悉的同学一定会知道其中的奥秘，因为`Redis`的key过期方式是定期随机测试是否过期和获取时测试是否过期（也称懒删除），由于定期随机测试Task的优先级是比较低的，所以即便这个key已经过期但是没有测试到所以不会触发key过期的事件。所以，第三个存储的意义在于，存储了什么时间点会过期的session，这样可以去主动请求来触发懒删除，以此触发过期事件。
3.2 Redis 三个key和存储结构
- Session主内容存储，key:spring:session:sessions:{SID}，内容：Map，key : value
- 过期存储，key:spring:session:sessions:expires:{UUID}，内容为空
- 过期sessionId列表存储，key:spring:session:expirations:{ExpiryTime}，内容Set
3.3 运行方式
因为第二种 key 的存在，所以会自动失效并且发出事件，但是有延迟，所以有个定时任务在不停地扫描当前分钟过期的 key ，即扫描第三种 key ，一旦扫描到就进行删除。
相应事件的程序会把第一种 key 删除。
3.4 代码细节
3.4.1 更新失效时间
3.4.2 Redis事件监听
当 Redis key 过期会往两个频道发布事件，一个是 expired 频道的 key 事件，一个是 key 频道的 expired 事件。（不过需要开启这个功能）
下面是 Spring Session 中 Redis 的事件监听。
container.addMessageListener(messageListener,
Arrays.asList(new PatternTopic("__keyevent@*:del"),
new PatternTopic("__keyevent@*:expired")));
container.addMessageListener(messageListener, Arrays.asList(new PatternTopic(messageListener.getSessionCreatedChannelPrefix() + "*")));
事件处理：
其中，handleCreate、handleDeleted 及 handleExpired 都是用于发布 Spring Context 的本地事件的。
4. Simple Session 简化和优化
4.1 Session存储使用 Map
Session主要内容在Redis中存储采用 Map 结构可以优化读写性能，因为绝大多数属性属于写少读多，如果采用整体做序列化的方式，每次都是整存整取，对于session多个属性操作性能会略快，如果操作属性比较少（如一个）那么性能上会略慢，但整体上讲不会对应用构成瓶颈。
4.2 修改更新
Spring Session 将对session的修改，如创建、销毁以及put属性都做成了在请求最后（Response Commit）再一起保存到 Redis，期间随便操作多少次都不会更新到 Redis 中，这样确实减少了对 Redis 的操作，只要是多于一次的都是优化。(也可以设置成每次操作都进行更新)
但是有个问题，如果 response 已经 commit 了，这时候再修改session，值将不会更新到Redis，这个也算不足。
Simple Session 对值的修改也采取懒更新或者立即更新，可以通过配置进行切换。懒更新则使用比 Spring 更简单的方式进行，当 SimpleSessionFilter 执行完毕以后进行提交，而不像 SpringSession 还要考虑 response 输出完再 commit ，所以比较简单，但如果顺序排在前面的 Filter（执行 after 应该在 SimpleSessionFilter 后面）在 chain.doFilter 之后就不能再进行 session 的操作。
4.3 简化存储结构
3 key 式的存储确实是设计巧妙，但是由于 Simple Session 没有去实现 Session 变更(create, delete & expired)事件，所以也就没必要去使用 3 key 存储。因此，使用了最简洁的设计: SessionId -> map(key:value)，存储 Session 相关属性及 attributes。
4.4 功能删减
Spime Session 实现了主要功能，包括只实现了 Redis 存储方案，至于其他方案如:db，使用者根据需要自己按接口实现。至于如：Spring Security的支持，socket场景的支持，都没有纳入主要功能去实现。
5. 代码库
码云：https://gitee.com/alexqdjay/simple-session
来源：oschina
链接：https://my.oschina.net/u/582040/blog/3033649