Session是指一個終端使用者與互動系統進行通訊的時間間隔，通常指從註冊進入系統到登出退出系統之間所經過的時間也成為會話時間。

token是有後端加密產生的一段加密字元。app訪問介面是的票據。

1.關於token域session之間的關聯關係
 1-1.token和session必須存在否則介面無法呼叫
 1-1  1.使用者A登陸--客戶端A
 1-1  2.使用者A 登陸---客戶端B時 1.首先判斷記憶體中是否存在token（通過賬號名稱查詢）
         存在：給客戶端B一個提示資訊 --然後傳送一個請求清空客戶端A產生的session和token，
         然後重新登陸，產生新的token。
         不存在：直接登陸沒有二次回撥請求過程。
 1.當用戶請求介面是：邏輯判斷如下
   1.從session中取出當前會話的物件 ---
       會話存在 -
          1.解析token獲取獲取accesstoken物件
          2.判斷當合會話的sessionid和記憶體中的session是否一致
          3.判斷當前的accesstoken是否失效
          4.判斷會話中的使用者和當前的accesstoken是否一致。

         5.當以上條件都滿足是，在進行許可權判斷是否有許可權呼叫當前請求的資源。

程式碼如下

   1.Accesstoken類如下

/**
 * app票據訪問的憑證
 * @author Administrator
 *
 */
public class AccessToken {
	private String signature;// 簽名  
    
    private String timestamp;// 時間戳  
    /*sessionid*/  
    private String sessionId;
    private String random;// 隨機數  

	public String getRandom() {
		return random;
	}

	public void setRandom(String random) {
		this.random = random;
	}

	public String getSignature() {
		return signature;
	}

	public void setSignature(String signature) {
		this.signature = signature;
	}

	public String getTimestamp() {
		return timestamp;
	}

	public void setTimestamp(String timestamp) {
		this.timestamp = timestamp;
	}

	public String getSessionId() {
		return sessionId;
	}

	public void setSessionId(String sessionId) {
		this.sessionId = sessionId;
	}

	@Override
	public String toString() {
		return "signature="+signature+"×tamp="+timestamp+"&sessionId="+sessionId+"&random="+random;
	}
    
}
 

public class TokenUtil {
	private static ConcurrentHashMap<String, AccessToken> map = new ConcurrentHashMap<String, AccessToken>();


	/**
	 * 生成加密Token
	 * 
	 * @param username
	 * @return
	 */
	public static AccessToken generateAccessToken(String username,
			String sessionId) {
		AccessToken accessToken = new AccessToken();
		// 設定簽名
		accessToken.setSignature(username);
		// 設定時間戳
		accessToken.setTimestamp(getTimeStamp());
		// 設定sessionId
		accessToken.setSessionId(sessionId);
		// 設定授權碼
		accessToken.setRandom(getRandom());
		return accessToken;
	}


	/**
	 * 【重新生成】更新Token
	 * 
	 * @param token
	 * @return
	 */
	public static String reCreateToken(String token) {


		return null;
	}


	/**
	 * 設定token 
	 * @param username
	 * @param userToken
	 */
	public static void putToken(String username, AccessToken accessToken) {
		map.put(username, accessToken);
	}


	/**
	 * 判定是否已經登入
	 * 
	 * @param signature
	 * @return
	 */
	public static boolean hasLogin(String signature) {
		if (map.containsKey(signature)) {
			return true;
		}
		return false;
	}
	/**
	 * 清空token
	 * 
	 * @param signature
	 * @return
	 */
	public static void removeToken(String signature) {
		 map.remove(signature);
	}
	/**
	 * 獲取accesstoken物件
	 * 
	 * @param signature
	 * @return
	 */
	public static AccessToken getAccessToken(String signature) {
		return map.get(signature);


	}


	/**
	 * 加密簽名
	 * 
	 * @param encrypt
	 * @return
	 * @throws Exception
	 */
	public static String encryptSignature(AccessToken token)
			throws Exception {
		return PBECoder.encrypt(token.toString(), PBECoder.PWD, PBECoder.salt);
	}


	/**
	 * 加密簽名
	 * 
	 * @param encrypt
	 * @return
	 * @throws Exception
	 */
	public static String encryptSignature(String username, String sessionId,
			byte[] salt) throws Exception {
		AccessToken token = generateAccessToken(username, sessionId);
		return PBECoder.encrypt(token.toString(), PBECoder.PWD, salt);
	}


	/**
	 * 解密簽名
	 * 
	 * @param signature
	 * @return
	 * @throws Exception
	 */
	public static String decryptSignature(String encryptToken, byte[] salt)
			throws Exception {
		return PBECoder.decryptString(encryptToken, PBECoder.PWD, salt);
	}


	/**
	 * 解密簽名
	 * 
	 * @param signature
	 * @return
	 * @throws Exception
	 */
	public static String decryptSignature(String encryptToken) throws Exception {
		return PBECoder
				.decryptString(encryptToken, PBECoder.PWD, PBECoder.salt);
	}


	/**
	 * 生成時間戳
	 * 
	 * @return
	 */
	public static String getTimeStamp() {
		return Calendar.getInstance().getTimeInMillis() + "";
	}


	/**
	 * 生成隨機數
	 * 
	 * @return
	 */
	public static String getRandom() {
		return new Random().nextInt(999999999) + "";
	}


	/**
	 * 解析加密使用者Token
	 * 
	 * @param token
	 * @return
	 * @throws Exception
	 */
	public static AccessToken decryptToken(String encyptToken) throws Exception {


		String[] params = decryptSignature(encyptToken).split("&");
		// 分析使用者提交過來的Token
		AccessToken accessToken = new AccessToken();
		for (int i = 0, j = params.length; i < j; i++) {
			String[] currentParams = params[i].split("=");
			String param = currentParams[0];
			if ("signature".equals(param)) {
				accessToken.setSignature(currentParams[1]);
			} else if ("timestamp".equals(param)) {
				accessToken.setTimestamp(currentParams[1]);
			} else if ("sessionId".equals(param)) {
				accessToken.setSessionId(currentParams[1]);
			}
		}
		return accessToken;
	}


	/**
	 * 驗證token的失效性
	 * 
	 * @param timestampStr
	 *            時間戳
	 * @return
	 * @throws Exception
	 */
	public static boolean verifyAccessToken(String timestampStr)
			throws Exception {
		// 驗證是否存在此使用者登入的Token
		if (timestampStr != null) {
			// 判定時間戳是否過期
			long currentTime = Calendar.getInstance().getTimeInMillis();
			long timestamp = Long.valueOf(timestampStr);
			// Token有效時間為60分鐘
			long verifyTime = 60 * 60 * 1000;
			if (currentTime - timestamp > verifyTime) {
				return true;
			}
			return false;
		}
		return true;
	}
 

/**
 * 跨域攔截器 --主要功能 獲取會話資訊和token--通過token解析成accesstoken物件--對使用者進行許可權判斷以及token的失效性判斷
 * 
 * @author wjb
 * @version 1.0.0 2016.8
 */


public class CrossInterceptor extends HandlerInterceptorAdapter {
	@Override
	public boolean preHandle(HttpServletRequest request,HttpServletResponse response, Object handler) throws Exception {
		String token = ""; /* app介面票據 */
		String errcode ="0" ; /*返回的狀態碼*/
		String errmsg = ""; /* 介面呼叫失敗是返回給客戶端的提示資訊 */
		Enumeration e = request.getHeaders("X-CSRF-TOKEN");/* 從請求的header中獲取token */
		while (e.hasMoreElements()) {
			token = (String) e.nextElement();
		}
		HttpSession session =  request.getSession();
		Object temp = session.getAttribute(ProperHelper.SESSION_KEY);/* 獲取當前會話的使用者 */
		/* token字串解析成accesstoken物件對該物件進行驗證 */
		if (token != null && !token.isEmpty() && temp != null) {
			Member member =(Member)temp;
			token = java.net.URLDecoder.decode(token, "UTF-8");
			AccessToken accessToken = TokenUtil.decryptToken(token);
			// 驗證是否存在此使用者登入的Token
			if (accessToken != null) {
				/*session是否一致*/
				if(!TokenUtil.getAccessToken(accessToken.getSignature()).getSessionId().equals(accessToken.getSessionId())){
					errcode="113";
					errmsg ="session異常請重新登陸";
				}// 判定時間戳是否過期，
				else if (TokenUtil.verifyAccessToken(accessToken.getTimestamp())) {
					errcode="111";
					errmsg = "token已失效,請重新登陸";
				}
				/* 驗證登陸的使用者和token解析出來的使用者是否一致 */
				else if (!accessToken.getSignature().equals(member.getLoginName())) {
					errcode ="112";
					errmsg = "token被篡改";
				} else {
					/* token驗證通過後下一步1.對請求訪問的地址進行許可權攔截 */
				}
			} else {
				errcode ="114";
				errmsg = "無效的token";
			}
		} else {
			errcode ="114";
			errmsg = "session失效";
		}
		if (!errmsg.isEmpty()) {
			/*異常時清空session*/
			session.invalidate();
		   JsonUtils.response(errcode ,errmsg, request, response);
			return false;
		}
		return super.preHandle(request, response, handler);
	}


}