4. Redis Session共享原理：为什么选择Redis做Session中心、Redis Session vs JWT Token、Session序列化与反序列化

在多租户SaaS架构中，用户会话（Session）管理是鉴权拦截链路的核心环节。单体应用时代，Session直接存储在应用服务器内存中，简单直接；但在微服务、水平扩展的SaaS环境下，每个请求可能落在不同的服务器节点上，内存Session无法跨节点共享，导致用户频繁重新登录。本章深入剖析Redis作为Session中心的底层原理、与JWT Token的选型对比，以及Session对象的序列化与反序列化机制。

4.1 为什么选择Redis做Session中心

Redis凭借其内存级读写性能、丰富的数据结构和内置过期淘汰机制，成为分布式Session共享的事实标准。相比其他方案（如数据库、Memcached、本地内存），Redis在SaaS场景下具备以下不可替代的优势：

4.2 Redis Session vs JWT Token

在分布式鉴权领域，Redis Session（服务端状态）与JWT Token（客户端状态）是两种主流方案。两者并非互斥，但在SaaS多租户场景下，选择取决于对状态管理、安全粒度和性能的权衡。

4.3 Session序列化与反序列化

Session对象在存入Redis前，必须从内存中的Java/Python/Go对象转换为字节流（序列化）；取出时再还原为对象（反序列化）。序列化方式直接影响存储空间、读写性能和跨语言兼容性。

4.3.1 常见序列化方案对比

4.3.2 序列化与反序列化流程

以Spring Session + Redis为例，Session的序列化/反序列化发生在每一次读写Redis时：

// 1. 用户登录成功，创建Session对象
HttpSession session = request.getSession();
session.setAttribute("user", userInfo);
session.setAttribute("tenantId", tenantId);

// 2. Spring Session拦截器自动触发序列化
//    将Session属性转换为Map<String, Object>
//    再通过配置的序列化器（如JdkSerializationRedisSerializer）转为byte[]

// 3. 存入Redis，Key格式：spring:session:sessions:{sessionId}
//    Value为序列化后的字节数组
redisTemplate.opsForHash().putAll(
    "spring:session:sessions:" + sessionId,
    sessionAttributes
);

// 4. 后续请求携带Session ID，从Redis读取
byte[] rawData = redisTemplate.opsForHash().entries(
    "spring:session:sessions:" + sessionId
);

// 5. 反序列化为Session对象
Map<String, Object> attrs = deserializer.deserialize(rawData);
HttpSession restoredSession = new RedisSession(attrs);

4.3.3 自定义序列化器示例（JSON方案）

// 使用Jackson2JsonRedisSerializer替代默认的JDK序列化
@Bean
public RedisTemplate<String, Object> sessionRedisTemplate(
        RedisConnectionFactory connectionFactory) {
    RedisTemplate<String, Object> template = new RedisTemplate<>();
    template.setConnectionFactory(connectionFactory);

    // 使用JSON序列化，可读且跨语言
    Jackson2JsonRedisSerializer<Object> serializer =
            new Jackson2JsonRedisSerializer<>(Object.class);
    ObjectMapper mapper = new ObjectMapper();
    mapper.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);
    serializer.setObjectMapper(mapper);

    template.setDefaultSerializer(serializer);
    template.setKeySerializer(new StringRedisSerializer());
    template.setHashKeySerializer(new StringRedisSerializer());
    template.setHashValueSerializer(serializer);

    return template;
}

4.4 多租户Session隔离实战要点

在Redis Session共享基础上，多租户SaaS需要额外关注租户级Session隔离：

• Key命名规范： tenant:{tenantId}:session:{sessionId}，确保不同租户的Session ID即使相同也不会冲突。
• 租户级过期时间： 不同租户可配置不同的Session超时时间（如VIP租户30分钟，免费租户15分钟），通过Redis TTL实现。
• 批量清理： 当租户被禁用或删除时，使用 SCAN tenant:{tenantId}:session:* 模式匹配批量删除该租户所有Session。
• 序列化安全： 反序列化时校验租户ID是否与当前请求租户一致，防止租户A的Session被租户B恶意复用。