1.1 当前 Token 本身包含什么#

当前 Token 来自雪花 ID：

1
Long snowflakeId = hutoolIdUtil.getSnowflakeId();
2
String token = String.valueOf(snowflakeId);

代码出处：

• 路径：duolaimall-user/user-service/src/main/java/com/cskaoyan/mall/user/controller/UserController.java
• 类与方法：UserController#login

这个字符串没有三段式 JWT 结构，没有 Header、Payload、Signature，也没有由 Gateway 在本地验签。

Gateway 必须用 Token 拼出 Redis Key，并读取服务端状态后才能知道用户是谁。

1.2 Redis Session 与 JWT 的判断标准#

所以面试时应准确表述为：

项目采用 Redis 有状态会话。Token 是雪花 ID 字符串，Gateway 使用它查询 Redis 中的 userId 与登录 IP，而不是解析 JWT。

2.1 服务内路径与网关外部路径#

当前 Controller 明确声明的服务内路径是：

仓库内只看到 Gateway 从 Nacos 导入 server-gateway-dev.yaml 和 common.yaml，没有看到这些外部配置的实际内容。

因此，下面两个结论必须分开：

• 代码已确认：用户服务 Controller 匹配 /user/login 与 /user/logout。
• 未验证：客户端经过 Gateway 时最终使用的外部路径、路由前缀和 StripPrefix 规则。

本文的 HTTP 示例使用 Controller 路径表达接口结构，不把未读取到的 Gateway 路由写成既定事实。

2.2 登录请求体#

请求对象是 UserInfoParam。

源码节选：

• 路径：duolaimall-user/user-service/src/main/java/com/cskaoyan/mall/user/query/UserInfoParam.java
• 类：UserInfoParam

1
@Data
2
public class UserInfoParam {
3

4
    private Long id;
5
    private String loginName;
6
    private String nickName;
7
    private String passwd;
8
    private String name;
9
    private String phoneNum;
10
    private String email;
11
    private String headImg;
12
    private String userLevel;
13
}

登录实现实际只读取两个字段：

• name：作为用户名查询条件。
• passwd：先执行 MD5，再作为密码摘要查询条件。

其余字段即使出现在请求体中，也没有被 UserServiceImpl#login 使用。

这说明当前 DTO 是一个复用范围较宽的用户参数对象，而不是只包含登录字段的专用 DTO。

2.3 登录分支真值表#

这里没有 Bean Validation、@Valid 或显式的空值校验。

“body 为 null”和“passwd 为 null”的结果是根据当前方法直接解引用得出的候选风险，本轮没有发送请求复现。

2.4 退出契约#

当前退出接口：

• 使用 GET /user/logout。
• 只从 Header 读取 token。
• 用 token 拼出 Redis Key。
• 删除对应 RBucket。
• 无论 delete 返回什么，都返回 Result.ok。

它不会读取 Cookie 中的 token，这一点与 Gateway 的 Token 提取策略不对称。

3.1 登录并建立 Redis 会话#

这个时序中有一个容易忽略的事实：

Token 在查询数据库之前就已经生成。登录失败会消耗一个雪花 ID，但不会写入 Redis。

4.1 查询等价语义#

UserInfoMapper 继承 MyBatis-Plus BaseMapper，没有自定义登录 SQL。

当前 Wrapper：

1
LambdaQueryWrapper<UserInfo> wrapper = new LambdaQueryWrapper<>();
2
wrapper.eq(UserInfo::getName, userName);
3
wrapper.eq(UserInfo::getPasswd, password);
4
UserInfo userInfo = userInfoMapper.selectOne(wrapper);

从业务语义看，它等价于：

1
SELECT <UserInfo 映射字段>
2
FROM user_info
3
WHERE name = ?
4
  AND passwd = ?
5
  AND <MyBatis-Plus 逻辑删除条件>;
6

7
随后由 selectOne 要求映射结果最多一条。

这里是查询语义伪代码，不是仓库中的 Mapper XML，也不假定具体数据库方言会自动追加 LIMIT。

selectOne 的契约意味着“相同 name + passwd 最多匹配一条记录”。仓库没有数据库迁移脚本，因此本轮不能确认 name 是否有唯一索引。

4.2 为什么同时按用户名和摘要查询#

当前实现不是：

1. 先按用户名查用户；
2. 再在 Java 中比较密码。

而是把用户名和密码摘要都放进 SQL 条件。

这种写法的直接结果是：

• 用户不存在和密码错误都得到 null。
• Java 层不会拿到错误账号的 UserInfo。
• 无法在当前方法里进一步判断账号状态或失败次数。
• 如果以后更换 BCrypt 这类带随机盐的慢哈希，通常要改成先查用户再调用 passwordEncoder.matches。

5.1 登录 Controller 的真实代码#

源码节选：

• 路径：duolaimall-user/user-service/src/main/java/com/cskaoyan/mall/user/controller/UserController.java
• 类与方法：UserController#login

1
@PostMapping("/user/login")
2
public Result login(@RequestBody UserInfoParam userInfo,
3
                    HttpServletRequest request) {
4

5
    String ip = IpUtil.getIpAddress(request);
6

7
    Long snowflakeId = hutoolIdUtil.getSnowflakeId();
8
    String token = String.valueOf(snowflakeId);
9

10
    UserLoginDTO userLoginDTO =
11
            userService.login(userInfo, ip, token);
12

13
    if (userLoginDTO == null) {
14
        return Result.build(
15
                "登录失败",
16
                UserCodeEnum.USER_LOGIN_CHECK_FAIL
17
        );
18
    }
19

20
    return Result.ok(userLoginDTO);
21
}

Controller 依次做了四件事：

1. 从 Servlet 请求提取 IP。
2. 通过 HutoolIdUtil 生成雪花 ID。
3. 把请求参数、IP 和 Token 一起交给 Service。
4. 把 null 转成登录失败，否则返回统一成功响应。

密码校验和 Redis 写入没有放进 Controller，职责划分是清晰的。

5.2 雪花 ID 从哪里来#

源码节选：

• 路径：duolaimall-common/common-util/src/main/java/com/cskaoyan/mall/common/util/HutoolIdUtil.java
• 类：HutoolIdUtil

1
@Component
2
@ConfigurationProperties(prefix = "hutool.snowflake")
3
public class HutoolIdUtil {
4

5
    private long workerId;
6
    private long datacenterId;
7
    private Snowflake snowflake;
8

9
    @PostConstruct
10
    private void init() {
11
        snowflake = new Snowflake(workerId, datacenterId);
12
    }
13

14
    public Long getSnowflakeId() {
15
        return snowflake.nextId();
16
    }
17
}

外部配置负责提供 workerId 和 datacenterId 的语义值。

本文不记录具体配置值。

雪花 ID 的优点是生成快、通常唯一、无需访问数据库；但“唯一 ID”不等于“安全令牌”：

• ID 有时间和节点结构。
• 它的目标是唯一性，不是不可预测性。
• 如果多个实例错误地复用相同 workerId、datacenterId，可能破坏唯一性假设。
• 如果 Token 碰撞，同一个 Redis Key 会被后一次登录覆盖。

当前没有运行或多实例配置证据，因此这些属于设计边界，不表示已发生碰撞。

6.1 Service 接口#

UserService 对外暴露：

1
UserLoginDTO login(
2
        UserInfoParam userInfo,
3
        String ip,
4
        String token
5
);
6

7
void logout(HttpServletRequest request);

Token 由 Controller 生成后传入，Service 不负责生成 Token。

6.2 密码摘要与数据库查询#

源码节选：

• 路径：duolaimall-user/user-service/src/main/java/com/cskaoyan/mall/user/service/impl/UserServiceImpl.java
• 类与方法：UserServiceImpl#login

1
String userName = userInfoParam.getName();
2

3
String password = DigestUtils.md5DigestAsHex(
4
        userInfoParam.getPasswd().getBytes()
5
);
6

7
LambdaQueryWrapper<UserInfo> lambdaQueryWrapper =
8
        new LambdaQueryWrapper<>();
9

10
lambdaQueryWrapper.eq(UserInfo::getName, userName);
11
lambdaQueryWrapper.eq(UserInfo::getPasswd, password);
12

13
UserInfo userInfo =
14
        userInfoMapper.selectOne(lambdaQueryWrapper);
15

16
if (userInfo == null) {
17
    return null;
18
}

当前摘要公式可以写成：

1
database.passwd == MD5(request.passwd bytes)

代码中没有：

• 独立随机盐；
• BCrypt、Argon2 或 PBKDF2；
• 账号状态检查；
• 登录失败次数；
• 验证码；
• 登录限流；
• 多因素认证。

另外，getBytes 没有显式指定字符集。对于普通 ASCII 密码通常结果一致；对非 ASCII 输入，摘要可能受 JVM 默认字符集影响。

6.3 为什么无盐 MD5 不适合生产密码#

MD5 的问题不只是存在碰撞，更重要的是它计算非常快。

对于密码存储，计算快意味着攻击者获得摘要后可以高速尝试大量候选密码。

生产系统通常选择：

• BCrypt；
• Argon2id；
• PBKDF2；
• 配合每个用户独立随机盐和合理成本参数。

同时应配合 HTTPS、登录限流、账号锁定策略、安全审计和敏感日志控制。

这些是安全演进建议，不是当前项目已经实现的能力。

7.1 Redis 中保存的 DTO#

源码：

• 路径：duolaimall-user/user-api/src/main/java/com/cskaoyan/mall/user/dto/UserLoginInfoDTO.java
• 类：UserLoginInfoDTO

1
@Data
2
@NoArgsConstructor
3
@AllArgsConstructor
4
public class UserLoginInfoDTO {
5

6
    String userId;
7
    String ip;
8
}

Redis 中不保存完整 UserInfo。

这避免了每次鉴权都携带用户昵称、手机号、密码摘要等无关字段，也降低了会话对象与用户表字段变化的耦合。

7.2 Key 规则#

源码：

• 路径：duolaimall-user/user-api/src/main/java/com/cskaoyan/mall/user/consts/UserConstants.java
• 类：UserConstants

1
public static final String USER_LOGIN_KEY_PREFIX =
2
        "user:login:";
3

4
public static final int USERKEY_TIMEOUT =
5
        60 * 60 * 24 * 7;
6

7
public static final String USER_LOGIN_TOKEN_HEADER =
8
        "token";

真实登录代码只使用 USER_LOGIN_KEY_PREFIX。

Key 结构：

1
user:login:{token}

概念示例：

1
key   = user:login:<雪花 ID 字符串>
2
value = {
3
  "userId": "<数据库用户 ID>",
4
  "ip": "<登录时提取的 IP>"
5
}
6
ttl   = 2 hours

示例使用占位符，不包含真实 Token、用户 ID 或网络地址。

7.3 写入会话的真实代码#

源码节选：

• 路径：duolaimall-user/user-service/src/main/java/com/cskaoyan/mall/user/service/impl/UserServiceImpl.java
• 类与方法：UserServiceImpl#login

1
UserLoginInfoDTO userLoginInfoDTO =
2
        new UserLoginInfoDTO();
3

4
userLoginInfoDTO.setUserId(
5
        userInfo.getId().toString()
6
);
7
userLoginInfoDTO.setIp(ip);
8

9
String key =
10
        UserConstants.USER_LOGIN_KEY_PREFIX + token;
11

12
RBucket<Object> bucket =
13
        redissonClient.getBucket(key);
14

15
bucket.set(
16
        userLoginInfoDTO,
17
        2,
18
        TimeUnit.HOURS
19
);

这段代码同时表达了三件事：

1. Redis Key 由固定前缀和 Token 拼接。
2. Value 只含 userId 与 IP。
3. 实际 TTL 是两小时。

USERKEY_TIMEOUT 的七天常量没有传给 bucket.set，因此不能把当前登录有效期写成七天。

7.4 序列化方式#

common-util 的 RedissonConfig 使用 JsonJacksonCodec。

这意味着会话 DTO 以 JSON 语义序列化，而不是 Java 原生序列化。

当前写入端声明 RBucket