JavaWeb项目Session丢失的问题

1.获取session

2.session丢失

业务场景是这样的，从A项目访问链接，会跳到B项目，这是时候从B项目中使用ajax请求A站点的API，就可能造成在A项目中获取不到用户的sessionId。解决方法，可以在跳转B项目时，将sessionId携带在B的链接后面，这样就可以通过url获取到sessionid了。这种情况就是使用前后端分离的模式开发公众号，开发公众号，要先获取用户授权然后跳转到首页。

3.session失效

1

session.invalidate();

4.谷歌浏览器每一次请求的session都不一样的问题

在我使用shiro进行权限认证的时候，每一次登录之后，使用cheklogin进行检查登录状态，总是显示用户未登录。可是在火狐浏览器上就没有这个问题。我才用的是前后端分离的模式进行开放，前台端口为88端口，后台端口为8878,且域名不一样，我把静态页面部署到了ip地址a上，后台服务部署到了ip地址b上,这样就造成了端口和域名都不一样，但是我后台使用spring boot shiro，并且设置了全局跨域，在很长一段时间内，使用谷歌调试都没有什么问题，然后部署到服务器上也没有什么问题，但是最近就出现了总是登录不上的问题。登录之后就会退出，很是奇怪。

然后我打开了谷歌浏览器的记住上一次请求，发现每一次的session都不一样，和参考文章中的情况比较像，于是我就按这个路子去查相关的知识。

(1) 我尝试了在SpringBoot Shiro项目中自定义SessionManager，因为我使用了shiro-spring-boot-web-starter，所有自定义一个SessionManager就好了，不需要在securityManager.setSessionManager(sessionManager()) 了。

1
2
3
4
5
6
7
8
9
10
11

 @Bean
public SessionManager sessionManager() {
    DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();
    Cookie cookie = new SimpleCookie(ShiroHttpSession.DEFAULT_SESSION_ID_NAME);
    cookie.setHttpOnly(false);
    cookie.setSameSite(Cookie.SameSiteOptions.NONE);
    sessionManager.setSessionIdCookie(cookie);
    sessionManager.setSessionIdCookieEnabled(true);
    sessionManager.setSessionIdUrlRewritingEnabled(true);
    return sessionManager;
}

(2) 即便这么设置了，也还是不行，因为SameSite=None；还需要带一个Secure标志，所以还需要添加cookie.setSecure(true);

A cookie associated with a cross-site resource at http://120.27.147.231/ was set without the `SameSite` attribute. It has been blocked, as Chrome now only delivers cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.

(3) 添加了cookie.setSecure(true)也是有问题的，如果启用了这个标志，那么cookie就只能通过https进行发送，这就不符合要求了。

(4) 所以最后还是通过nginx进行的转发解决问题,是前后端都在同一个域名以及端口下，然后通过nginx进行端口转发到相应的后台服务中去。

(5) 本地开发的时候该如何进行设置呢？可以考虑禁用这个标志
本地开发时，出现跨域问题，虽然后台已经设置了允许跨域访问，但是在前台调试的时候，每一次进行ajax请求，其中的Cookie都不一样，所以我怀疑这是没有根本就没有发送Cookie的问题。解决方法也很简单，就是在Chrome中访问chrome://flags/，搜索SameSite，搜索SameSite，把搜到的结果项都设置为disabled，然后重启浏览器即可。

5.nginx配置

在使用 Asp.NET 设置cookie之后，查看浏览器Cookie 出现了：This attempt to set a cookie via a Set-Cookie header was blocked becasuse it had the “Secure” attribute but was not received over a secure connection。导致Cookie设置不进去。

[解决]
设置里secure，和默认的samesite=none,那么只能是https才能访问;设置nosecure和strict，可以非https访问。

1
2
3
4

## 通过proxy_cookie_flags
proxy_cookie_flags ~nosecure samesite=strict;
## 或者直接设置cookie_path
proxy_cookie_path / "/; Path=/; Secure; HttpOnly";