spring mvc @ModelAttribute 如何不覆盖session

2016-01-22 11:52:57 272 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Spring会话维持全解析：从HttpSession到分布式Session共享 HTTP协议的无状态特性，决定了每次请求都彼此孤立，而业务却天然需要“记住用户”。会话（Session）机制就是在这一底层约束上构建出的有状态桥梁。作为Java服务端的主流框架，Spring通过HttpSession API、SessionAttributes、拦截器等机制，将会话维持从单机场景平滑扩展到集群环境。当应用进入分布式部署时，Spring Session结合Redis存储，提供了可靠的会话共享方案，同时解决了序列化、安全攻击等工程问题。本文从会话原理出发，逐步拆解Spring中的会话管理、分布式阅读详情

如在登录时设置@SessionAttributes("user")对象，在其它Controller的方法里要通过@ModelAttribute("user") User user取该对象，发现前台传来的参数可以覆盖user中的userid，导致session中的userid改变，这样我的系统就变得非常不安全，怎样才能让@ModelAttribute的参数对象不被前台传来的参数赋值呢，不想用servlet httpsession的方式，有别的办法吗

...全文

Windows中的TLS 1.2启用方法（IIS、C#、.Net framework）折腾几天了windows中的tls1.2启用方法！特此记录一下开发背景：在一个用.net framework 2.0开发的客户端程序里面嵌入功能调用第三方物联网相关接口，服务器上有一个restful接口用于接收第三方上报的数据及处理，最后再调用第三方的物联网相关接口。本机开发环境Windows 10，客户服务器是Windows Server 2008 R2。第一次写这种物联网相关的接口调用，而且第三方提供的文档比较简单，最基本的报文示例都没。开发环境里面各种摸索一步一个坑，首先在发送HTTP请求前阅读详情

Jazzhow

Java EE 67,535 成员 225,843 内容

+ 关注 + 加入社区

切换为时间正序

Intboy 2016-01-22

打赏
举报

是覆盖了session中的user吧？

Jazzhow 2016-01-22

打赏
举报

引用 4 楼 fengspg 的回复:

怎么可能，不同用户进来session都不一样，怎么会存在覆盖的情况？

@SessionAttributes("user") public class ModifyPasswordController { @RequestMapping("modifyPasswd") @ResponseBody public JsonResult modifyPasswd(String oldPwd,String pwd,@ModelAttribute("user") UserEntity user) 我本来是要通过@ModelAttribute("user") UserEntity user来得到该用户存在session中的user对象的，但如果传来的参数只有 oldPwd,pwd这两个那session 中user对象没有问题，但是如果用户传来一个userID=1那么spring mvc 就会自动调用user.setUserID方法，把原本session中的user对象中的userID属性修改掉

Jazzhow 2016-01-22

打赏
举报

引用 4 楼 fengspg 的回复:

怎么可能，不同用户进来session都不一样，怎么会存在覆盖的情况？

Intboy 2016-01-22

打赏
举报

怎么可能，不同用户进来session都不一样，怎么会存在覆盖的情况？

Jazzhow 2016-01-22

打赏
举报

引用 1 楼 fengspg 的回复:

是覆盖了session中的user吧？

比如userID为5的用户浏览器传了个参数?userID=1,那么当这个controller执行完后session中的user对象中的属性userID就变成了1，这样的覆盖

Jazzhow 2016-01-22

打赏
举报

引用 1 楼 fengspg 的回复:

是覆盖了session中的user吧？

覆盖了session中user对象的一个userID属性

spring mvc @ModelAttribute 如何不覆盖session

相关推荐