//生成目錄接口ApiDoc apiDoc=new GeneratorApiDoc()
 .setInfo(//設置文檔基本信息
 new ApiDocInfo()
 .setTitle("某莫系統后臺管理文檔")
 .setVersion("1.0")
 .setDescription("")
 )
 .generator(packageName);//指定生成哪個包下controller的文檔
System.err.println(JsonUtil.toString(detail));//詳細功能接口ApiDocAction detail=new GeneratorApiDoc() //設置數據庫連接信息，可忽略
 .setDriver(driver)
 .setUrl(url)
 .setUserName(userName)
 .setPassword(password)
 .setDataBaseName(dataBaseName)
 .getApiOfMethod(methodUUID);
 System.err.println(JsonUtil.toString(detail));

錄

前言
一、接口用戶上下文的構建、使用、清除
??1. 利用Filter攔截到每一個請求
??2. 獲取當前請求的線程
??3. 用戶上下文生命周期管理
??4. 用戶上下文的使用
??5. 用戶上下文的刪除
二. 用戶登錄&認證

前言

作為一名從業已達六年的老碼農，我的工作主要是開發后端Java業務系統，包括各種管理后臺和小程序等。在這些項目中，我設計過單/多租戶體系系統，對接過許多開放平臺，也搞過消息中心這類較為復雜的應用，但幸運的是，我至今還沒有遇到過線上系統由于代碼崩潰導致資損的情況。這其中的原因有三點：一是業務系統本身并不復雜；二是我一直遵循某大廠代碼規約，在開發過程中盡可能按規約編寫代碼；三是經過多年的開發經驗積累，我成為了一名熟練工，掌握了一些實用的技巧。

考慮到文字太過寡淡，我先上一張圖

在Spring Boot中，默認情況下，每個請求到達時都會分配一個單獨的線程來處理，而且請求的發起人也不一定都是同一個人，所以一個請求對應一個用戶上下文，并且要求線程隔離，即不同線程的用戶上下文互不影響，最后用戶上下文還需要隨著線程的結束而刪除。
本文我會從用戶上下文如何構建、如何使用、如何刪除這三個方面解釋接口用戶上下文的設計與實現。

一、接口用戶上下文的構建、使用、清除

1. 利用Filter攔截到每一個請求

由于接口散落在各個Controller中，且絕大部分接口都是需要這個用戶上下文的（注：也不排除不需要用戶上下文的接口存在），所以這里需要統一入口進行創建、銷毀?？雌饋砜梢允褂肁OP的方式來實現，
不過這里有一個更合適的方案，利用SpringBoot自帶的Filter【javax.servlet.Filter】來實現。

實現起來非常簡單，我這邊自定義了一個WebFilter，代碼如下:

WebFilter.java

package com.summo.filter;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import com.summo.context.GlobalUserContext;
import com.summo.context.UserContext;
import lombok.extern.slf4j.Slf4j;
import org.slf4j.MDC;
import org.springframework.stereotype.Component;

@Slf4j
@Component
public class WebFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        Filter.super.init(filterConfig);
    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
        throws IOException, ServletException {
        try {
            //獲取本次接口的唯一碼
            String token=java.util.UUID.randomUUID().toString().replaceAll("-", "").toUpperCase();
            MDC.put("requestId", token);
            //獲取請求頭
            HttpServletRequest httpServletRequest=(HttpServletRequest)servletRequest;
            HttpServletResponse httpServletResponse=(HttpServletResponse)servletResponse;
            log.info("當前請求鏈接為:[{}]", httpServletRequest.getRequestURL());
            //設置用戶上下文
            UserContext userContext=new UserContext();
            userContext.setUserId(1L);
            GlobalUserContext.setUserContext(userContext);
            //執行doFilter，這行一定要加，否則程序會中斷掉
            filterChain.doFilter(httpServletRequest, httpServletResponse);
        } catch (Exception e) {
            log.error("do doFilter exception", e);
        } finally {
            GlobalUserContext.clear();
            MDC.remove("requestId");
        }
    }

    @Override
    public void destroy() {
        Filter.super.destroy();
    }
}

這段代碼的核心方法是：public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
我們可以在這個方法里面獲取到ServletRequest和ServletResponse，這兩個類能獲取到代表著我們可以操作整個請求過程，這里如何確定當前請求的用戶？下面有一張流程圖供大家參考：

還有一種做法是使用JWT來當做用戶token，因為JWT本身就可以存儲一些信息，所以我們就不需要去緩存用戶信息了，直接解析JWT即可，這種做法在分布式應用中很常見。

2. 獲取當前請求的線程

上面已經獲取到用戶信息了，現在需要將用戶信息放入用戶上下文中，但由于請求的發起人不一定都是同一個人，所以一個請求對應著一個用戶上下文，也即一個線程設置一個上下文。那么這里就需要獲取到當前線程才能設置上下文。

獲取當前線程有很多辦法，這里推薦使用阿里巴巴開源的TTL框架（TransmittableThreadLocal）來實現，功能強大且用法簡單。

引入方法如下：

<dependency>
  <groupId>com.alibaba</groupId>
  <artifactId>transmittable-thread-local</artifactId>
  <version>2.11.1</version>
</dependency>

使用方法如下：

 private static final TransmittableThreadLocal<UserContext> USER_HOLDER=new TransmittableThreadLocal<>();

直接new一個對象就行，而且支持泛型。

3. 用戶上下文生命周期管理

對于用戶上下文的生命周期管理需要定義3個方法：

• 設置上下文用戶信息;
• 獲取上下文用戶信息
• 清除上下文用戶信息

以上方法均為靜態方法。

下面是一個簡單的例子：
GlobalUserContext.java

package com.summo.context;

import com.alibaba.ttl.TransmittableThreadLocal;

public class GlobalUserContext {

    private static final TransmittableThreadLocal<UserContext> USER_HOLDER=new TransmittableThreadLocal<>();

    /**
     * 設置上下文用戶信息
     *
     * @param user 用戶信息
     */
    public static void setUserContext(UserContext user) {
        USER_HOLDER.set(user);
    }

    /**
     * 獲取上下文用戶信息
     */
    public static UserContext getUserContext() {
        return USER_HOLDER.get();
    }

    /**
     * 清除上下文用戶信息
     */
    public static void clear() {
        USER_HOLDER.remove();
    }
}

UserContext.java

package com.summo.context;

import lombok.Data;

@Data
public class UserContext {

    /**
     * 用戶ID
     */
    private Long userId;

}

調用方式如下：

設置上下文用戶信息：GlobalUserContext.setUserContext(userContext);
獲取上下文用戶信息：GlobalUserContext.getUserContext();
清除上下文用戶信息：GlobalUserContext.clear();

4. 用戶上下文的使用

獲取用戶上下文很方便，調用GlobalUserContext.getUserContext();就行了，這里我主要講一下用戶上下文的使用場景。

a. 身份認證

可以將用戶的身份認證信息（如用戶名、密碼、權限等）保存在用戶上下文中，在需要進行鑒權的地方進行驗證。

b. 用戶日志記錄

正如《優化接口設計的思路》系列：第三篇—在用戶使用系統過程中留下痕跡 的方法三.

c. 防止接口數據越權

舉個例子，比如有些業務需要獲取當前登錄用戶的信息、當前登錄用戶的收藏、當前登錄用戶的瀏覽記錄，這樣的接口總不能在接口上傳一個userId吧？真要這樣干了，非得給安全罵死。。。
利用用戶上下文的話，接口就可以不用傳遞任何參數獲取到當前用戶的userId，實現你的需求啦。

d. 跨服務調用

在分布式系統中，可以將用戶上下文信息傳遞給其他服務，以保持用戶的一致性和連貫性。

e. 監控和統計

可以將用戶上下文中的信息用于系統的監控和統計，如請求的處理時間、請求的次數等。

5. 用戶上下文的刪除

刪除很簡單，調用GlobalUserContext.clear();即可，詳情可見WebFilter.java內容。

二. 用戶登錄&認證

上面主要是說怎么獲取到接口請求的用戶以及怎么設置用戶上下文，但沒說用戶身份是什么時候確認的以及怎么確認的，這里說一下常見做法。
想要確認用戶信息就不得不提到用戶登錄&認證這套東西了，登錄的方式非常多，簡單的有賬號密碼登錄、手機驗證碼登錄，復雜的就是單點登錄、三方授權登錄如微信掃碼、支付寶掃碼等。雖然方式多，但是結果都一樣的：確認當前用戶身份。

當前用戶身份確認好之后，系統一般會根據當前用戶信息生成一個唯一的并帶有時效性的token，放入下一次請求的cookie中。等到下一次請求來的時候，我們就可以從cookie中獲取這個token，利用這個token獲取這個用戶的信息。

由于用戶認證情況太多，這里我就不貼代碼了，上面是賬號密碼登錄用戶認證的的時序圖，供大家參考。

作者：sum墨

原文鏈接：https://www.cnblogs.com/wlovet/p/17671747.html