spring web 应用在多用户短时高频访问时，因会话（session）共享机制配置不当，导致用户提交的数据被意外覆盖，引发业务数据不一致（如用户选中商品a，后台却记录为商品b）。
spring web 应用在多用户短时高频访问时，因会话（session）共享机制配置不当，导致用户提交的数据被意外覆盖，引发业务数据不一致（如用户选中商品a，后台却记录为商品b）。
该问题本质是分布式会话状态管理失效，而非 Spring 或 WildFly 的 Bug。虽然开发环境（JDK 8 + 单机部署）压力测试未复现，但生产环境（JDK 11 + Web Farm 集群）暴露了根本隐患：当应用部署在多节点负载均衡架构（Web Farm）中，且错误沿用了默认的 in-process（进程内）Session 存储（如 Servlet 容器内存 Session），各节点间 Session 数据彼此隔离、无法同步——用户请求被 Nginx/Traefik 等负载均衡器随机分发至不同服务器，其 Session 写入仅保存在当前节点内存中；后续请求若路由到另一节点，将触发新 Session 创建或读取过期/空 Session，造成上下文丢失、表单参数错乱、甚至关键业务字段（如商品 ID、订单项）被其他用户的会话值覆盖。
✅ 正确解法是统一外部化 Session 存储，确保所有集群节点共享同一份会话状态。推荐方案如下：
方案一：使用 Spring Session + Redis（推荐）
Redis 具备高性能、高可用、天然支持分布式共享的特性，与 Spring Session 集成简洁可靠。
<!-- Maven 依赖 -->
<dependency>
<groupId>org.springframework.session</groupId>
<artifactId>spring-session-data-redis</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>@Configuration
@EnableSpringHttpSession // 启用基于 Redis 的 HTTP Session
public class SessionConfig {
@Bean
public LettuceConnectionFactory connectionFactory() {
return new LettuceConnectionFactory();
}
}✅ 优势：自动序列化/反序列化、支持 TTL 过期、可水平扩展、与 Spring Security 无缝集成。
⚠️ 注意：确保 @SessionAttributes 或 @ModelAttribute 标注的类实现 Serializable，避免反序列化失败。
方案二：使用 WildFly 内置的 Infinispan 分布式缓存
WildFly 原生支持 Infinispan 作为集群 Session 存储，无需额外中间件。
在 standalone-ha.xml 中启用分布式 Web 子系统：
<subsystem xmlns="urn:jboss:domain:undertow:12.0" ...>
<servlet-container name="default">
<session-cookie secure="true" http-only="true"/>
<session-management mode="CLUSTERED"/> <!-- 关键：启用集群会话 -->
</servlet-container>
</subsystem>并确保
✅ 优势：零外部依赖、自动故障转移、与 WildFly 生命周期深度绑定。
⚠️ 注意：需在所有集群节点启用相同缓存组配置，并验证 JGroups 组播/TCPPING 发现是否正常。
❌ 必须规避的错误实践
- 不要依赖容器默认内存 Session（
仅对部分旧版容器有效，WildFly 默认不跨节点同步）； - 不要使用文件系统或数据库存储 Session（性能瓶颈显著，易成单点）；
- 不要在 Controller 中通过 @Autowired HttpServletRequest 手动操作 getSession() 并长期持有引用——Session 对象非线程安全，应在每次请求作用域内使用。
? 总结：该“数据覆盖”现象是典型的分布式会话一致性缺失症状。解决核心在于放弃进程内 Session，转向中心化、可共识的外部存储。优先选用 Spring Session + Redis 方案，兼顾开发效率与生产稳定性；若已深度绑定 WildFly 生态，则应严格启用其 HA 模式下的 Infinispan 集群会话。同时建议在关键业务流程（如订单确认页）增加服务端幂等校验（如乐观锁版本号、请求唯一 Token），实现双重防护。
