在 Go 语言中使用 Session（一）

在上一篇博客理解Cookie和Session 中，我们了解了 Cookie 和 Session 的一些基础知识，也知道了 Session 的基本原理是由服务端保存一份状态信息（以及它的唯一标识符），客户端会通过这个唯一标识符来访问这份状态信息数据。

整个客户端和服务端的交互过程可以概括为以下三个步骤：

客户端第一次发送请求时，服务端创建 Session，并生成唯一标识符 SessionId
服务端将 SessionId 发送给客户端

（一般来说有两种常用的方式：Cookie 和 URL 重写）
客户端再次向服务端发送请求时一并将 SessionId 发送给服务端。

Go 实现 session

在 Go 的标准库中并没有提供对 Sessoin 的实现，所以下面我们通过分析《Go Web编程》一书中的示例来学习一下如何自行实现一个 Session 的功能。

（ps：虽然标准库中没有实现 session，但是有很多 Web 框架都提供了 session 的实现）

实现 Session 主要需要考虑以下几点:

Session 的创建
全局 Session 管理器
SessionID 的全局唯一性
Session 的存储（可以存储到内存、文件、数据库等）
Session 过期处理

下面跟着相应的 go 代码示例分析一下整个设计思路：

定义 Session

Session 使用的是一种类似散列表的结构（也可能就是散列表）来保存的信息。如果您有任何 Web 开发经验，您应该知道 Session 只有四个操作：设置值，获取值，删除值和获取当前的 SessionID。

因此 Session 接口应该有四种方法来执行这种操作：

type Session interface {

	Set(key, value interface{}) error //设置Session

	Get(key interface{}) interface{}  //获取Session

	Delete(key interface{}) error     //删除Session

	SessionID() string                //当前SessionID

}

可以通过多种方式保存 Session，包括内存，文件和数据库等，所以这里定义了一个 Session 操作接口，不同存储方式的 Session 操作有所不同，实现也不同。

Session 管理器

我们知道 Session 是保存在服务端的数据，因此我们可以抽象出一个 Provider 接口来表示 Session 管理器的底层结构。Provider 将通过 SessionID 来访问和管理 Session。

type Provider interface {

	SessionInit(sid string) (Session, error)

	SessionRead(sid string) (Session, error)

	SessionDestroy(sid string) error

	SessionGC(maxLifeTime int64)

}

SessionInit 实现 Session 的初始化，如果成功则返回新的 Session
SessionRead 返回由相应 sid 表示的 Session，如果不存在，那么将以 sid 为参数调用 SessionInit 方法创建并返回一个新的 Session 变量。
SessionDestroy 给定一个 sid，删除相应的 Session。
SessionGC 根据 maxLifeTime 删除过期的 Session 变量

定义好了 Provider 接口之后，我们再写一个注册方法，使得我们可以根据 provider 管理器的名称就能找到其对应的 provider 管理器

var providers = make(map[string]Provider)

//注册一个能通过名称来获取的 session provider 管理器

func RegisterProvider(name string, provider Provider) {

	if provider == nil {

		panic("session: Register provider is nil")

	}

	if _, p := providers[name]; p {

		panic("session: Register provider is existed")

	}

	providers[name] = provider

}

接着再把 Provider 封装一下，定义一个全局的 Session 的管理器

type Manager struct {

	cookieName string //cookie的名称

	lock sync.Mutex //锁，保证并发时数据的安全一致

	provider Provider //管理session

	maxLifeTime int64 //超时时间

}

func NewManager(providerName, cookieName string, maxLifetime int64) (*Manager, error){

	provider, ok := providers[providerName]

	if !ok {

		return nil, fmt.Errorf("session: unknown provide %q (forgotten import?)", providerName)

	}

	//返回一个 Manager 对象

	return &Manager{

		cookieName: cookieName,

		maxLifeTime: maxLifetime,

		provider: provider,

	}, nil

}

然后在 main 包中创建一个全局的 Session 管理器

var globalSession *Manager

func init() {

	globalSession, _ = NewManager("memory", "sessionid", 3600)

}

唯一的 Session ID

Session ID是用来识别访问 Web 应用的每一个用户的，因此需要保证它是全局唯一的，示例代码如下：

func (manager *Manager) sessionId() string {

	b := make([]byte, 32)

	if _, err := io.ReadFull(rand.Reader, b); err != nil {

		return ""

	}

	return base64.URLEncoding.EncodeToString(b)

}

创建 Session

我们需要为每个来访的用户分配或者获取与它相关连的 Session，以便后面根据 Session 信息来验证操作。SessionStart 这个函数就是用来检测是否已经有某个 Session 与当期来访用户发生了关联，如果没有则创建它。

//根据当前请求的cookie中判断是否存在有效的session, 不存在则创建

func (manager *Manager) SessionStart(w http.ResponseWriter, r *http.Request) (session Session) {

	//为该方法加锁

	manager.lock.Lock()

	defer manager.lock.Unlock()

	//获取 request 请求中的 cookie 值

	cookie, err := r.Cookie(manager.cookieName)

	if err != nil || cookie.Value == "" {

		sid := manager.sessionId()

		session, _ = manager.provider.SessionInit(sid)

		cookie := http.Cookie{

		Name: manager.cookieName,

		Value: url.QueryEscape(sid), //转义特殊符号@#￥%+*-等

		Path: "/",

		HttpOnly: true,

		MaxAge: int(manager.maxLifeTime)}

		http.SetCookie(w, &cookie) //将新的cookie设置到响应中

	} else {

		sid, _ := url.QueryUnescape(cookie.Value)

		session, _ = manager.provider.SessionRead(sid)

	}

	return

}

现在我们已经可以通过 SessionStart 方法返回一个满足 Session 接口的变量了。下面通过一个例子来展示一下 Session 的读写操作：

//根据用户名判断是否存在该用户的session，不存在则创建

func login(w http.ResponseWriter, r *http.Request){

	sess := globalSession.SessionStart(w, r)

	r.ParseForm()

	name := sess.Get("username")

	if name != nil {

		sess.Set("username", r.Form["username"]) //将表单提交的username值设置到session中

	}

}

注销 Session

在 Web 应用中通常有用户退出登录操作，那么当用户退出应用的时候，我们就可以对该用户的 session 数据进行注销。

// SessionDestroy 注销 Session

func (manager *Manager) SessionDestroy(w http.ResponseWriter, r *http.Request) {

cookie, err := r.Cookie(manager.cookieName)

	if err != nil || cookie.Value == "" {

		return

	}

	manager.lock.Lock()

	defer manager.lock.Unlock()

	manager.provider.SessionDestroy(cookie.Value)

	expiredTime := time.Now()

	newCookie := http.Cookie{

		Name: manager.cookieName,

		Path: "/", HttpOnly: true,

		Expires: expiredTime,

		MaxAge: -1,  //会话级cookie

	}

	http.SetCookie(w, &newCookie)

}

现在我们有对 Session 进行读（Get）、写（Set）、删除（Destroy）操作的方法了，下面结合这三个操作来展示一个示例：

//记录该session被访问的次数

func count(w http.ResponseWriter, r *http.Request) {

	sess := globalSession.SessionStart(w, r) //获取session实例

	createTime := sess.Get("createTime") //获得该session的创建时间

	if createTime == nil {

		sess.Set("createTime", time.Now().Unix())

	} else if (createTime.(int64) + 360) < (time.Now().Unix()) { //已过期

		//注销旧的session信息，并新建一个session  globalSession.SessionDestroy(w, r)

		sess = globalSession.SessionStart(w, r)

	}

	count := sess.Get("countnum")

	if count == nil {

		sess.Set("countnum", 1)

	} else {

		sess.Set("countnum", count.(int) + 1)

	}

}

删除 Session

接着再来看看如何让 Session 管理器删除 Session。

//在启动函数中开启GC

func init() {

	go globalSession.SessionGC()

}

func (manager *Manager) SessionGC() {

	manager.lock.Lock()

	defer manager.lock.Unlock()

	manager.provider.SessionGC(manager.maxLifeTime)

	//使用time包中的计时器功能，它会在session超时时自动调用GC方法

	time.AfterFunc(time.Duration(manager.maxLifeTime), func() {

		manager.SessionGC()

	})

}

以上类似的解决方法可用于计算在线用户上。

至此，我们实现了一个用来在 Web 应用中全局管理 Session 的 SessionManager，定义了用来提供 Session 存储实现 Provider 接口。

接口的具体实现

关于针对 Session 接口和 Provider 接口的具体实现，这里就不展开了，有兴趣的读者可参考《Go Web编程》第 6.3 小节的内容

参考：

《Go Web 编程》第6章

巴特西