分布式会话

Gavin James2026/10/11大约 5 分钟

应用横向扩展成多实例后，用户的登录态不能再「只存在这台机器上」。分布式会话要解决的问题是：用户这次落在 A 机器、下次落在 B 机器，如何仍是同一个已登录用户。

1. 为什么本地 Session 会失效

传统 Servlet 容器把 HttpSession 存在当前 JVM 的内存里。单机时代没问题，一旦前面挂上负载均衡：

        负载均衡
       /        \
   实例A       实例B
 (登录态在A)  (B没有A的登录态)

用户在 A 登录成功，下一个请求被负载均衡转发到 B，B 的内存里没有这个 Session —— 用户「莫名掉线」。这就是分布式会话要解决的经典问题。

由 Nginx ip_hash 或负载均衡的会话保持实现，把同一来源的请求固定打到一个后端：

upstream backend {
    ip_hash;                # 按客户端 IP 哈希固定后端
    server 10.0.0.1:8080;
    server 10.0.0.2:8080;
}

Tomcat 可配置集群，通过组播把 Session 变化同步给其他节点：

<!-- tomcat conf/server.xml 中开启集群（示意） -->
<Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/>

节点少时可行，节点一多广播量爆炸（N 个节点要发 N-1 份），不适合大规模集群。

把所有 Session 放进共享存储（通常是 Redis），应用本身变得无状态：

Spring 生态用 Spring Session 几乎零改造接入：

<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

spring:
  session:
    store-type: redis
    timeout: 30m          # 会话过期时间
  data:
    redis:
      host: redis-host
      port: 6379

@EnableRedisHttpSession       // 开启 Redis 会话
@Configuration
public class SessionConfig { }

配置后，HttpSession 的读写会自动落到 Redis，业务代码基本不用改。要点：

把登录态放进客户端持有的令牌里，服务端只做验签，不再存储：

JWT 结构：header.payload.signature
payload 里可放：用户ID、过期时间(exp)、签发者(iss) 等

Authorization: Bearer <token>

JWT 的补救手段：

问题	手段
注销难	维护短周期的黑名单/白名单（如 Redis 存已撤销 token 的 jti）
过期时间	用短有效期 access token + 长有效期 refresh token
密钥泄露	定期轮换签名密钥，用 `kid` 标识当前密钥
信息泄露	payload 是明文 Base64，绝不放敏感信息

实践中常见组合：网关做统一鉴权，校验 token；网关上把解析出的用户信息透传给下游服务，下游不再各自解析登录态。

全程 HTTPS：会话 Cookie / token 一旦被抓包就是会话劫持。
Cookie 属性：HttpOnly（禁止 JS 读取）、Secure（仅 HTTPS 发送）、SameSite=Lax/Strict（防 CSRF）。
防伪造网关头：内部服务若信任网关注入的 X-User-Id 之类请求头，必须保证外部请求无法伪造这些头（网关剥离外来同名头），并限制网络入口。
短过期 + 刷新：access token 有效期短（如 15 分钟），refresh token 长但可撤销。
会话固定攻击：登录成功后重新生成 Session ID。
退出登录：集中式会话删除 Redis 记录即可；JWT 需走黑名单或短过期。