Java Web架构

前两天发了一个招聘广告贴，结果之前的ID和帖子都被管理员删了，之前的一些资料都没了，真是服了，没办法又注册了一个原来的ID，结果等了两天才能发贴。
继续把之前的帖子重发一下。



说明：
Web负载均衡和应用负载均衡使用Nginx
Web服务器用Tomcat
应用服务器可选Jboss、glassfish、tomcat
数据库Mysql
Session缓存使用TokyoTyrant（需要持久化）
应用缓存使用Memcached
Web服务器通过Hessian远程调用访问应用服务器
Web层使用Spring3 MVC通过Hessian调用远程应用服务器的业务方法获取业务数据生成页面。各服务器之间的session存储在session缓存中。
应用层使用Spring3+Hibernate+Hessian，主要是提供业务service接口，在接口层进行事务控制，通过hessian生成远程调用接口供web层调用。通过AOP实现结果缓存减少数据库压力。
数据库做集群，这部分没有画在图上。

------------------------------------------------------------------------------------------
2010-09-21增加：
这个是新版本的软件结构：

改进：购物车数据保存在共享的memcached中，去掉session，增加身份认证服务。

评论

66 楼 q364035622 2012-08-23  

为什么我没看到源码啊!我也想研究下!!

65 楼 zt1986mo 2012-06-13  

LZ 请问，这个图 您是用什么软件画的？谢谢

64 楼 yangrui19830323 2012-03-19  

请问下，我到svn上查看代码，说要输入用户名，密码，是啥呢，能给我们吗

63 楼 yanwt 2011-11-16  

yuanliyin 写道

谢谢你的回复！
请教个问题，我现在用的jboss seam做了个系统，公司内部使用，就一台应用服务器，装的jboss4，前台展现用jsf xhtml，绑定Java bean，用war方式打包，一个数据库服务器 oracle。

现在新开发另外一个系统，想重新架构下，主要想把应用展现和业务分开，比如部署一台web服务器（apache或nginx等）+应用服务器（jboss），问题是这个应用（war）如何部署，两台机器上都要部署吗同一个应用吗？

甚至还想过一种变态方案，干脆把应用服务器上部署一个提供rest服务的应用，然后weib服务器通过统一的调用实现分离，遐想了，呵呵

两个系统不要部署同一个应用，web服务器远程调用应用服务器的接口就行了，rest是一个很好的选择。

62 楼 yuanliyin 2011-11-16  

谢谢你的回复！
请教个问题，我现在用的jboss seam做了个系统，公司内部使用，就一台应用服务器，装的jboss4，前台展现用jsf xhtml，绑定Java bean，用war方式打包，一个数据库服务器 oracle。

现在新开发另外一个系统，想重新架构下，主要想把应用展现和业务分开，比如部署一台web服务器（apache或nginx等）+应用服务器（jboss），问题是这个应用（war）如何部署，两台机器上都要部署吗同一个应用吗？

甚至还想过一种变态方案，干脆把应用服务器上部署一个提供rest服务的应用，然后weib服务器通过统一的调用实现分离，遐想了，呵呵

61 楼 icanfly 2010-10-09  

还有一个问题是UUID作为cookie的防攻击性如何？
根据你提供的程序，如果我自己伪造一个类似的UUID的cookie传入系统，系统发现这个cookie系统中没有相应的session，则系统会对应这个cookie值（自己伪造的UUID）建立session，这样做有没有什么后果？如果我自己只创建一个长度为10或者更短的，系统也接受？


我的做法是：
1、在用户登录前获取时创建临时session,在只读取的情况下，不写入memcached，如果有临时信息写入才写入memcached.此时的sid(SessionID有可能是用户自己伪造传入的).
2、在用户登录过后重新生成新的UUID(ticket),使原来的cookie失效，产生新的cookie写回客户端，可以防止用户自己伪造UUID(cookie)。
3、此时如果用户再次伪造一个UUID cookie过来，系统会发现此UUID cookie在memcached中不存在，则会重复1、2两个步骤直至用户使用了系统分配的UUID。

60 楼 icanfly 2010-10-09  

SessionService.java:

public Map getSession(String id) {
MemCachedClient mc = this.getMemCachedClient();

Map session = (Map) mc.get(id);
if (session == null) {
session = new HashMap();
mc.add(id, session);
}
return session;
}
这只是获取session，如果session不存在，大可只返回空的hashMap，没有必要再mc.add(id, session);因为一旦你返回的hashMap中放入值的时候会自动调用saveSession，如果没有如果在获取session时发现没有session，将新建hashMap存入实际上没有任何意义还会浪费一次网络通信流量。因为你存入的空的session要么下次取还是取一个空hashMap回来，要么就会被一个新的有值的hashMap代替。总之第一次存入的空hashMap无用。这是我的见解！

59 楼 yanwt 2010-09-30  

<div class="quote_title">kakaluyi 写道</div><div class="quote_div"><p> 楼主，我看了源码，有些见解有几点觉得框架的sessionsna处理有些浪费性能 <br><br>1 HttpSessionSidWrapper.java </p>
<pre name="code" class="java">if (session != null) {
            Enumeration&lt;String&gt; enumeration = session.getAttributeNames();
            while (enumeration.hasMoreElements()) {
                String name = enumeration.nextElement();
                map.put(name, session.getAttribute(name));
            }
            SessionService.getInstance().saveSession(sid, map);
        }</pre>
<p> <br><br>每次请求，getsession方法都会遍历session，然后保存到缓存中，这种行为如果是必须，肯定会影响速度，不如用一个监听器比如 <br>利用HttpSessionAttributeListener监听httpsession的属性变化,同步到memecached中的sessionmap。 <br><br>Java代码</p>
<pre name="code" class="java">public void attributeAdded(HttpSessionBindingEvent event) {
或者attributeRemove </pre>
<p> <br>这样是更好的解决方法对吧？ <br><br>2还有cookie的key用的是自动生成的uuid，其实不如用session.getId()，这个也是唯一的，而且还可以用来比较session.getId()和cookie中是否相同来判断前后是否是同一个session（该应用服务器是否crash） <br>暂时就这两个问题了，还会继续看源码，有问题到时候再沟通一下</p>
<p> </p></div><br/>使用UUID是想保持用户的一些状态，如果使用session.getId()的话，用户关闭浏览器，sessionid就会丢失。既然花了那么大的开销存储了session数据，肯定希望能使用的长久一些是吧。

58 楼 JavaLanguageFun 2010-09-30  

对这些不太懂 ，主要是做应用系统 ，LZ 能给个技术文档么 。不讲代码 ，就将思想 。那些地方用了什么技术，什么的。。

57 楼 kakaluyi 2010-09-29  

<p> 楼主，我看了源码，有些见解有几点觉得框架的sessionsna处理有些浪费性能 <br><br>1 HttpSessionSidWrapper.java </p>
<pre name="code" class="java">if (session != null) {
            Enumeration&lt;String&gt; enumeration = session.getAttributeNames();
            while (enumeration.hasMoreElements()) {
                String name = enumeration.nextElement();
                map.put(name, session.getAttribute(name));
            }
            SessionService.getInstance().saveSession(sid, map);
        }</pre>
<p> <br><br>每次请求，getsession方法都会遍历session，然后保存到缓存中，这种行为如果是必须，肯定会影响速度，不如用一个监听器比如 <br>利用HttpSessionAttributeListener监听httpsession的属性变化,同步到memecached中的sessionmap。 <br><br>Java代码</p>
<pre name="code" class="java">public void attributeAdded(HttpSessionBindingEvent event) {
或者attributeRemove </pre>
<p> <br>这样是更好的解决方法对吧？ <br><br>2还有cookie的key用的是自动生成的uuid，其实不如用session.getId()，这个也是唯一的，而且还可以用来比较session.getId()和cookie中是否相同来判断前后是否是同一个session（该应用服务器是否crash） <br>暂时就这两个问题了，还会继续看源码，有问题到时候再沟通一下</p>
<p> </p>

56 楼 wmcoo 2010-09-25  

yanwt 写道

xchao 写道

赞赏一下！

感谢楼主的共享，不是代码层面的共享，而是设计思想层面的共享，我们需要更多这样共享来壮大我们的软件事业！

呵呵，这个是之前一版的架构了，现在版本有些改进，有时间整理一下发上来和大家讨论一下。

看着这个架构对小弟们学习有很大帮助,感谢楼主的分享精神.
还请楼主快些整理下新版中各个层面用的的技术(越祥细越好)  .

55 楼 onlysomeone 2010-09-23  

楼主啊，示例中“登录”不了，只是页面刷新了，
感觉是执行j_spring_security_check，验证了“验证码”之后就完了。楼主能否提供一下较为完整的登录功能的代码，谢谢了！

54 楼 yanwt 2010-09-21  

xchao 写道

赞赏一下！

感谢楼主的共享，不是代码层面的共享，而是设计思想层面的共享，我们需要更多这样共享来壮大我们的软件事业！

呵呵，这个是之前一版的架构了，现在版本有些改进，有时间整理一下发上来和大家讨论一下。

53 楼 yanwt 2010-09-21  

onlysomeone 写道

楼主项目所选用的不走寻常路，做的很好的，有几个问题想问问：
开发工具用的intellij idea，不用的Eclipse/Myeclips，用的spring MVC不用的Struts不知道是出于什么考虑？使用下来感觉怎么样，另外引入的jar文件那么多更新起了也太不容易了，更新的时候会不会容易发生冲突？spring 3.0.4较以前版本有了不少改进是否考虑更新呢？
谢谢！

选择intellij idea只是个人习惯而已，从5.0开始一直用到现在。使用了spring IOC首选就是spring mvc，而且集成也非常简单。整个架构结构比较简单，配置文件比较精简，新手可以很容易上手。jar文件管理起来确实是个头痛的问题，里面有一些是没用的，我也懒得去清理了，使用mvn管理应该是一个不错的方向，只是现在没时间去整理了。升级spring3.0.4是没有问题的，有兴趣的只要替换一下spring3的jar文件就可以了。

52 楼 xchao 2010-09-21  

赞赏一下！

感谢楼主的共享，不是代码层面的共享，而是设计思想层面的共享，我们需要更多这样共享来壮大我们的软件事业！

51 楼 onlysomeone 2010-09-20  

楼主项目所选用的不走寻常路，做的很好的，有几个问题想问问：
开发工具用的intellij idea，不用的Eclipse/Myeclips，用的spring MVC不用的Struts不知道是出于什么考虑？使用下来感觉怎么样，另外引入的jar文件那么多更新起了也太不容易了，更新的时候会不会容易发生冲突？spring 3.0.4较以前版本有了不少改进是否考虑更新呢？
谢谢！

50 楼 yanwt 2010-09-09  

peterwei 写道

给老yan投下精，最近我在研究memcached相关的东西，以后多向你请教。
1.后来整个架构有没有发生改变？
2.tomcat 的session那块最后是怎么处理的？我记得当时好像用到cookie了。
3.应用服务器用了memcached,为什么当时web server没有一起使用memcached？就我所知，memcached也可以处理集中式session,好像有个memcached-session-manager。

开始第一版是使用了共享session的，集中放在memcached里面。现在只是使用cookie记录一下用户的一个ID信息，用来验证用户身份,相当于一个用户一个ticket。购物车的ID也是存在cookie里面，具体的购物车数据是存在服务器端的memcached里面。基本上是这样了。

49 楼 kimmking 2010-09-08  

虽然有广告嫌疑，但是lz的工作如实的话，分享精神可嘉。
秒精~

48 楼 peterwei 2010-09-08  

给老yan投下精，最近我在研究memcached相关的东西，以后多向你请教。
1.后来整个架构有没有发生改变？
2.tomcat 的session那块最后是怎么处理的？我记得当时好像用到cookie了。
3.应用服务器用了memcached,为什么当时web server没有一起使用memcached？就我所知，memcached也可以处理集中式session,好像有个memcached-session-manager。

47 楼 yanwt 2009-12-23  

lianj_lee 写道

开源公司的项目，貌似职业道德不怎么高。

代码先收了，有机会研究研究！

只是把项目用到的架构开源，项目是不开源的。