用Redis模拟session概述

Redis 是一个强大而简单的键值型数据库,之前在公司网站改版的过程中大量使用 Redis 来处理一些特殊的需求,我希望能将自己对 Redis 的使用经验都分享出来,而这里算是第一篇吧。

背景

项目是一个有着不小访问量的网站,为了达到分流的作用,网站按照不同的业务(个人、企业、后台、营销、搜索、API等)区分成不同的子域名,而子域名下运行的是不同的实例。

对用户登录这块的逻辑,原来的做法是:将登录的明文信息(登录ID、用户名、姓名等)在登录过程中直接写入用户 cookie,当需要进行登录校验的时候,后台直接取出 cookie 中保存的ID进行处理。可以想象,这样的模式只要模拟或者盗取了客户端的 cookie 信息,对于客户来说几乎没有任何安全性的保障。

由于用户的操作可能跨越多个实例,如果采用服务器 session 的机制的话,就需要解决 session 的共享问题,从技术的实现角度来说可能碰到的坑就更多了,于是我们利用了 Redis 来模拟服务器的 session。

实际设计

图1

登录流程见图1

  1. 用户从浏览器中将登录信息传到 Web Server 中处理
  2. Web Server 首先跟进行用户信息验证,当验证通过的时候,根据用户的客户端信息(IP、浏览器信息等)进行散列,形成一个 token,这个 token 将会是 Redis 中的 Key,同时将经常需要获取的内容(用户ID、姓名等)组装成 Value,根据需要可以是 json 格式或者 HashTable,然后设定一个 expire time 保存进 Redis
  3. 将生成的 token 保存在用户的浏览器 cookie 中

图2

验证流程见图2

  1. 用户访问需要进行验证登录的内容时,客户端会将 cookie 传到 Web Server 中
  2. Web Server 从 cookie 中获取到 token 的值,判断 token 是否存在于 Redis 中
  3. 若存在则将 Redis 中保存的信息返回到 Web Server 中进行处理,判断此次获取是否合法:
    • 客户端的信息是否和生成 token 时的一致(IP、浏览器信息等)
    • Value 中保存的内容是否和当前操作匹配(用户ID是否和当前处理的ID,或者如果将IP等信息放到内容中也可以将上一条的验证在这里处理)
  4. 所有验证通过则将正常的结果返回给用户,有需要的话还可以在这个过程中重置或延长原来 Redis key 的生存时间

这样做解决了什么问题?

其实这是一个很简单的思路,将客户登录验证和客户信息获取这两部分内容合并到 Redis 中来进行处理了

  • 不利用服务器的 session,这样当多服务器部署的时候就不需要关心 session 的同步问题了
  • 客户端 cookie 中保存的 token 信息是散列后的内容,不涉及任何业务属性,cookie 一旦被抓取到了单纯从 cookie 信息中也不会丢失任何敏感数据
  • token 即使被盗用了并被有意进行模仿,如果不是完全按照客户登录时的IP、浏览器信息来进行模拟的话,基本无法获取到客户的信息
  • 常用的信息保存在 Redis 中,由于直接读取了内存,比起持久化的数据库查询,读取速度快了很多,减少了负载同时提升了访问效率
  • Redis 中的内容设定了生存时间,当有效期内执行操作重置时间这样的机制模拟了 session timeout,这样也能进一步保证用户的数据安全性