java - 我可以使用带有 CDI 的 EJB 无状态 Bean 来维护用户 session 吗？

Question

基于这篇文章http://www.adam-bien.com/roller/abien/entry/ejb_3_1_killed_the我在我的应用程序中使用 @Named @Stateless bean 与数据库通信(在此处注入(inject) EntityManager)并在 jsf 页面上显示信息。这是自 Java EE 5 以来的一大便利，但我有一个问题。

使用这样的 bean 来维护用户 session (购物车等)是否安全？我读了一本关于 ejb 3.0 的书，我知道同一个无状态 bean 可以用于许多客户端。

使用具有所有 ejb 特性(事务、线程安全等)的托管 bean 的最佳方法是什么？我的意思是除了 Java EE 5 中的托管 bean + ejb 接口(interface)实现 + ejb 注入(inject)之外的任何其他方式？

我使用 GlassFish 3.1 WebProfile

Answer 1

添加到 duffymo 的建议中；与使用 HTTP session 相比，使用有状态 session bean 有一些额外的注意事项。

HTTP session 基本上具有类似 map 的结构。它可直接用于 session 中的所有线程(请求)。这使得操纵多个项目成为一种相对不安全的行为。可以在 session 本身上进行同步，但这是一个有风险的操作，可能会使整个应用程序死锁。 HTTP session 确实允许您声明事件监听器，事件监听器会在对 HTTP session 进行任何类型的修改时触发。

Stateful session bean当然有一个bean结构。它具有一种自动同步功能，因为只有线程可以同时在 bean 中处于 Activity 状态。通过注释，您可以声明其他线程是否等待(如果等待，等待多长时间)或在并发访问时立即抛出异常。

通常每个用户只有一个 http session ，单个用户可以同时使用多个有状态 session bean。有状态 session bean 的一个特别优点是它们有一种机制可以在超时后钝化它们的状态，这可以释放服务器的内存(当然是以磁盘空间为代价)。有状态 session bean 不直接具有 http session 所具有的那种事件监听器。

我认为最初有状态 session bean 的“ session ”方面是维护与远程非 Web 客户端(Swing、另一个 AS 等)的 session 。这很像创建 http session 以维护与远程 Web 客户端的 session 。由于非 Web 客户端可以为有状态 session bean 请求并保持多个代理，Web 类比实际上更类似于最近引入的对话范围。

在远程 Web 客户端与服务器对话的情况下，服务器在内部与有状态 session bean 对话，这些概念有很大的重叠。远程 Web 客户端只知道 http session (通过 JSESSIONID)，而对有状态 session bean 的 session 一无所知。因此，如果 http session 丢失，您通常将无法再次将远程客户端与特定的有状态 session bean 连接起来。因此，这种情况下的 HTTP session 始终处于领先地位，您不妨将购物车项目存储在单个 (http) session 范围的 bean 中。

有一种特定情况下，有状态 session bean 可以派上用场进行内部通信，那就是如果您需要 JPA 的扩展持久性上下文。这可以被使用，例如实体上的锁需要在请求之间持续(如果您的库存有限并且不想在用户实际结帐时立即面对“缺货”消息，这对于购物车来说可能很方便)。