Go語言session的建立和管理
2020-07-16 10:05:03
session 建立過程
session 的基本原理是由伺服器為每個對談維護一份資訊資料，用戶端和伺服器端依靠一個全域性唯一的標識來存取這份資料，以達到互動的目的。當使用者存取 Web 應用時，伺服器端程式會隨需要建立 session，這個過程可以概括為三個步驟：- 生成全域性唯一識別符號（sessionid）；
- 開闢資料儲存空間。一般會在記憶體中建立相應的資料結構，但這種情況下，系統一旦掉電，所有的對談資料就會丟失，如果是電子商務類網站，這將造成嚴重的後果。所以為了解決這類問題，可以將對談資料寫到檔案裡或儲存在資料庫中，當然這樣會增加 I/O 開銷，但是它可以實現某種程度的 session 持久化，也更有利於 session 的共用；
- 將 session 的全域性唯一標示符傳送給用戶端。
以上三個步驟中，最關鍵的是如何傳送這個 session 的唯一標識這一步上。考慮到 HTTP 協定的定義，資料無非可以放到請求行、頭域或 Body 裡，所以一般來說會有兩種常用的方式：cookie 和 URL 重寫。
Cookie 伺服器端通過設定 Set-cookie 頭就可以將 session 的識別符號傳送到用戶端，而用戶端此後的每一次請求都會帶上這個識別符號，另外一般包含 session 資訊的 cookie 會將失效時間設定為 0（對談 cookie），即瀏覽器進程有效時間。至於瀏覽器怎麼處理這個 0，每個瀏覽器都有自己的方案，但差別都不會太大（一般體現在新建瀏覽器視窗的時候）。
URL 重寫，所謂 URL 重寫，就是在返回給使用者的頁面裡的所有的 URL 後面追加 session 識別符號，這樣使用者在收到響應之後，無論點選響應頁面裡的哪個連結或提交表單，都會自動帶上 session 識別符號，從而就實現了對談的保持。雖然這種做法比較麻煩，但是，如果用戶端禁用了 cookie 的話，此種方案將會是首選。
Go 實現 session 管理
通過上面 session 建立過程的講解，大家應該對 session 有了一個大體的認識，但是具體到動態頁面技術裡面，又是怎麼實現 session 的呢？下面我們將結合 session 的生命週期（lifecycle），來實現 Go語言版本的 session 管理。session 管理設計
我們知道 session 管理涉及到如下幾個因素- 全域性 session 管理器
- 保證 sessionid 的全域性唯一性
- 為每個客戶關聯一個 session
- session 的儲存（可以儲存到記憶體、檔案、資料庫等）
- session 過期處理
接下來將講解一下關於 session 管理的整個設計思路以及相應的 go 程式碼範例：
session 管理器
定義一個全域性的 session 管理器type Manager struct {
cookieName string // private cookiename
lock sync.Mutex // protects session
provider Provider
maxLifeTime int64
}
func NewManager(provideName, cookieName string, maxLifeTime int64) (*Manager, error) {
provider, ok := provides[provideName]
if !ok {
return nil, fmt.Errorf("session: unknown provide %q (forgotten import?)", provideName)
}
return &Manager{provider: provider, cookieName: cookieName, maxLifeTime: maxLifeTime}, nil
}
Go 實現整個的流程應該也是這樣的，在 main 包中建立一個全域性的 session 管理器。
var globalSessions *session.Manager
//然後在init函數中初始化
func init() {
globalSessions, _ = NewManager("memory", "gosessionid", 3600)
}
type Provider interface {
SessionInit(sid string) (Session, error)
SessionRead(sid string) (Session, error)
SessionDestroy(sid string) error
SessionGC(maxLifeTime int64)
}
- SessionInit 函數實現 session 的初始化，操作成功則返回此新的 session 變數；
- SessionRead 函數返回 sid 所代表的 session 變數，如果不存在，那麼將以 sid 為引數呼叫 SessionInit 函數建立並返回一個新的 session 變數；
- SessionDestroy 函數用來銷毀 sid 對應的 session 變數；
- SessionGC 根據 maxLifeTime 來刪除過期的資料
那麼 session 介面需要實現什麼樣的功能呢？有過 Web 開發經驗的讀者知道，對 Session 的處理基本就設定值、讀取值、刪除值以及獲取當前 sessionID 這四個操作，所以我們的 session 介面也就實現這四個操作。
type Session interface {
Set(key, value interface{}) error // set session value
Get(key interface{}) interface{} // get session value
Delete(key interface{}) error // delete session value
SessionID() string // back current sessionID
}
var provides = make(map[string]Provider)
//register 通過提供的名稱提供對談。
//如果用相同的名稱呼叫兩次 register，或者如果 driver 為 nil，它會恐慌。
func Register(name string, provider Provider) {
if provider == nil {
panic("session: Register provider is nil")
}
if _, dup := provides[name]; dup {
panic("session: Register called twice for provider " + name)
}
provides[name] = provider
}
全域性唯一的 session ID
session ID 是用來識別存取 Web 應用的每一個使用者，因此必須保證它是全域性唯一的（GUID），下面程式碼展示了如何滿足這一需求：func (manager *Manager) sessionId() string {
b := make([]byte, 32)
if _, err := rand.Read(b); err != nil {
return ""
}
return base64.URLEncoding.EncodeToString(b)
}
session 建立
我們需要為每個來訪使用者分配或獲取與他相關連的 session，以便後面根據 session 資訊來驗證操作。SessionStart 這個函數就是用來檢測是否已經有某個 session 與當前來訪使用者發生了關聯，如果沒有則建立之。func (manager *Manager) SessionStart(w http.ResponseWriter, r *http.Request) (session Session) {
manager.lock.Lock()
defer manager.lock.Unlock()
cookie, err := r.Cookie(manager.cookieName)
if err != nil || cookie.Value == "" {
sid := manager.sessionId()
session, _ = manager.provider.SessionInit(sid)
cookie := http.Cookie{Name: manager.cookieName, Value: url.QueryEscape(sid), Path: "/", HttpOnly: true, MaxAge: int(manager.maxLifeTime)}
http.SetCookie(w, &cookie)
} else {
sid, _ := url.QueryUnescape(cookie.Value)
session, _ = manager.provider.SessionRead(sid)
}
return
}
我們用前面 login 操作來演示 session 的運用：func login(w http.ResponseWriter, r *http.Request) {
sess := globalSessions.SessionStart(w, r)
r.ParseForm()
if r.Method == "GET" {
t, _ := template.ParseFiles("login.gtpl")
w.Header().Set("Content-Type", "text/html")
t.Execute(w, sess.Get("username"))
} else {
sess.Set("username", r.Form["username"])
http.Redirect(w, r, "/", 302)
}
}
操作值：設定、讀取和刪除
SessionStart 函數返回的是一個滿足 session 介面的變數，那麼我們該如何用他來對 session 資料進行操作呢？上面的例子中的程式碼 session.Get("uid") 已經展示了基本的讀取資料的操作，現在我們再來看一下詳細的操作：
func count(w http.ResponseWriter, r *http.Request) {
sess := globalSessions.SessionStart(w, r)
createtime := sess.Get("createtime")
if createtime == nil {
sess.Set("createtime", time.Now().Unix())
} else if (createtime.(int64) + 360) < (time.Now().Unix()) {
globalSessions.SessionDestroy(w, r)
sess = globalSessions.SessionStart(w, r)
}
ct := sess.Get("countnum")
if ct == nil {
sess.Set("countnum", 1)
} else {
sess.Set("countnum", (ct.(int) + 1))
}
t, _ := template.ParseFiles("count.gtpl")
w.Header().Set("Content-Type", "text/html")
t.Execute(w, sess.Get("countnum"))
}
通過上面的例子可以看到，session 的操作和操作 key/value 資料庫類似：Set、Get、Delete 等操作。因為 session 有過期的概念，所以我們定義了 GC 操作，當存取過期時間滿足 GC 的觸發條件後將會引起 GC，但是當我們進行了任意一個 session 操作，都會對 session 實體進行更新，都會觸發對最後存取時間的修改，這樣當 GC 的時候就不會誤刪除還在使用的 session 實體。
session 重置
我們知道，Web 應用中有使用者退出這個操作，那麼當使用者退出應用的時候，我們需要對該使用者的 session 資料進行銷毀操作，上面的程式碼已經演示了如何使用 session 重置操作，下面這個函數就是實現了這個功能：//Destroy sessionid
func (manager *Manager) SessionDestroy(w http.ResponseWriter, r *http.Request){
cookie, err := r.Cookie(manager.cookieName)
if err != nil || cookie.Value == "" {
return
} else {
manager.lock.Lock()
defer manager.lock.Unlock()
manager.provider.SessionDestroy(cookie.Value)
expiration := time.Now()
cookie := http.Cookie{Name: manager.cookieName, Path: "/", HttpOnly: true, Expires: expiration, MaxAge: -1}
http.SetCookie(w, &cookie)
}
}
session 銷毀
我們來看一下 session 管理器如何來管理銷毀，只要我們在 Main 啟動的時候啟動：func init() {
go globalSessions.GC()
}
func (manager *Manager) GC() {
manager.lock.Lock()
defer manager.lock.Unlock()
manager.provider.SessionGC(manager.maxLifeTime)
time.AfterFunc(time.Duration(manager.maxLifeTime), func() { manager.GC() })
}
我們可以看到 GC 充分利用了 time 包中的定時器功能，當超時 maxLifeTime 之後呼叫 GC 函數，這樣就可以保證 maxLifeTime 時間內的 session 都是可用的，類似的方案也可以用於統計線上使用者數之類的。至此 我們實現了一個用來在 Web 應用中全域性管理 session 的 SessionManager，定義了用來提供 session 儲存實現 Provider 的介面，接下來，我們將通過介面定義來實現一些 Provider，供大家參考學習。
session 儲存
上面我們介紹了 session 管理器的實現原理，定義了儲存 session 的介面，接下來我們將範例一個基於記憶體的 session 儲存介面的實現，其他的儲存方式，大家可以自行參考範例來實現，記憶體的實現請看下面的例子程式碼。package memory
import (
"container/list"
"github.com/astaxie/session"
"sync"
"time"
)
var pder = &Provider{list: list.New()}
type SessionStore struct {
sid string //session id唯一標示
timeAccessed time.Time //最後存取時間
value map[interface{}]interface{} //session裡面儲存的值
}
func (st *SessionStore) Set(key, value interface{}) error {
st.value[key] = value
pder.SessionUpdate(st.sid)
return nil
}
func (st *SessionStore) Get(key interface{}) interface{} {
pder.SessionUpdate(st.sid)
if v, ok := st.value[key]; ok {
return v
} else {
return nil
}
}
func (st *SessionStore) Delete(key interface{}) error {
delete(st.value, key)
pder.SessionUpdate(st.sid)
return nil
}
func (st *SessionStore) SessionID() string {
return st.sid
}
type Provider struct {
lock sync.Mutex //用來鎖
sessions map[string]*list.Element //用來儲存在記憶體
list *list.List //用來做gc
}
func (pder *Provider) SessionInit(sid string) (session.Session, error) {
pder.lock.Lock()
defer pder.lock.Unlock()
v := make(map[interface{}]interface{}, 0)
newsess := &SessionStore{sid: sid, timeAccessed: time.Now(), value: v}
element := pder.list.PushBack(newsess)
pder.sessions[sid] = element
return newsess, nil
}
func (pder *Provider) SessionRead(sid string) (session.Session, error) {
if element, ok := pder.sessions[sid]; ok {
return element.Value.(*SessionStore), nil
} else {
sess, err := pder.SessionInit(sid)
return sess, err
}
return nil, nil
}
func (pder *Provider) SessionDestroy(sid string) error {
if element, ok := pder.sessions[sid]; ok {
delete(pder.sessions, sid)
pder.list.Remove(element)
return nil
}
return nil
}
func (pder *Provider) SessionGC(maxlifetime int64) {
pder.lock.Lock()
defer pder.lock.Unlock()
for {
element := pder.list.Back()
if element == nil {
break
}
if (element.Value.(*SessionStore).timeAccessed.Unix() + maxlifetime) < time.Now().Unix() {
pder.list.Remove(element)
delete(pder.sessions, element.Value.(*SessionStore).sid)
} else {
break
}
}
}
func (pder *Provider) SessionUpdate(sid string) error {
pder.lock.Lock()
defer pder.lock.Unlock()
if element, ok := pder.sessions[sid]; ok {
element.Value.(*SessionStore).timeAccessed = time.Now()
pder.list.MoveToFront(element)
return nil
}
return nil
}
func init() {
pder.sessions = make(map[string]*list.Element, 0)
session.Register("memory", pder)
}
上面這個程式碼實現了一個記憶體儲存的 session 機制。通過 init 函數註冊到 session 管理器中。這樣就可以方便的呼叫了。我們如何來呼叫該引擎呢？請看下面的程式碼。
import (
"github.com/astaxie/session"
_ "github.com/astaxie/session/providers/memory"
)
var globalSessions *session.Manager
//然後在init函數中初始化
func init() {
globalSessions, _ = session.NewManager("memory", "gosessionid", 3600)
go globalSessions.GC()
}
預防 session 劫持
session 劫持是一種廣泛存在的比較嚴重的安全威脅，在 session 技術中，用戶端和伺服器端通過 session 的識別符號來維護對談，但這個識別符號很容易就能被嗅探到，從而被其他人利用。它是中間人攻擊的一種型別。下面將通過一個範例來演示連線劫持，希望通過這個範例，能讓大家更好地理解 session 的本質。
session 劫持過程
我們寫了如下的程式碼來展示一個 count 計數器：func count(w http.ResponseWriter, r *http.Request) {
sess := globalSessions.SessionStart(w, r)
ct := sess.Get("countnum")
if ct == nil {
sess.Set("countnum", 1)
} else {
sess.Set("countnum", (ct.(int) + 1))
}
t, _ := template.ParseFiles("count.gtpl")
w.Header().Set("Content-Type", "text/html")
t.Execute(w, sess.Get("countnum"))
}
count.gtpl 的程式碼如下所示：Hi. Now count:{{.}}
然後我們在瀏覽器裡面重新整理可以看到如下內容：
圖：瀏覽器端顯示 count 數