javaweb总结5-自定义Session

Session在存储安全性要求较高的会话信息方面是必不可少的，Session当然绝对不是用来存储用户登录状态的，但类似验证码等敏感信息却必须存储在Session中。对于分布式Web应用自定义Session支持独立的状态服务器或集群是必须的。

ASP.NET通过SessionStateModule通过配置文件配置实际的Session提供程序，Session提供程序实现了SessionStateStoreProviderBase，因此在ASP.NET中实现自定义Session是通过继承SessionStateStoreProviderBase实现，配置Session是通过Web.config。ASP.NET自定义session的代码参考github上的开源项目SQLiteSessionStateStore。

同理，Java Servlet中使用自定义Session通过Filter可以实现。由于不同的servlet容器对Session的实现不同，所以通用性最好的方式是继承HttpServletRequestWrapper重写getSession方法返回自定义的Session对象。Filter采用了职责链模式（chain of responsibility），HttpServletRequestWrapper采用了装饰模式（Decorator），可以通过《Head First 设计模式》阅读模式的相关内容。