核心是将会话数据统一存入Redis实现跨实例共享：通过Cookie传递唯一Session ID，使用Hash结构存储、显式TTL续期，集成Spring Session自动完成序列化/反序列化与HttpSession无缝对接，确保可读、可续、可清理、可扩展。
用 Redis 实现分布式 Session，核心是把原本存在各台应用服务器内存里的会话数据，统一存到 Redis 中，让所有服务实例都能通过同一个 Session ID 读写它。
关键步骤：存储、标识、过期、集成
不是简单地把 Session 写进 Redis 就完事，得保证可读、可续、可清理、可扩展：
-
Session ID 必须全局唯一且稳定传递：用户登录后，服务端生成一个 Session ID（如 UUID），通过 Cookie（如
JSESSIONID）返回给浏览器；后续每次请求都自动携带该 ID，所有后端节点靠它查 Redis。 -
数据结构选 Hash 而非 String：Spring Session 默认用
Hash存储（键为spring:session:sessions:{sessionId}），每个属性作为 field 存，支持部分更新、节省内存；若用 String 存整个序列化对象，每次改一个字段也要全量读写。 -
TTL 必须显式设置且与业务逻辑联动：Redis 的过期不能只靠
SET key value EX 1800一设了之。用户操作（如点击、提交）应触发EXPIRE续期；否则用户正在输入时 Session 过期，体验断层。建议搭配 Watchdog 机制，后台定期扫描即将过期的活跃会话并刷新。 -
必须走 Spring Session 或等效封装：不要手写
redisTemplate.opsForValue().set(...)存取。Spring Session 提供了RedisOperationsSessionRepository，自动完成序列化/反序列化、ID 解析、属性变更监听、过期清理等，还能无缝对接HttpSession接口，对业务代码零侵入。
典型配置（Spring Boot）
只需三步，无需改业务代码：
- 引入依赖：
spring-session-data-redis+spring-boot-starter-data-redis - 配置 Redis 地址和数据库：
spring.redis.host、spring.redis.database=1（建议 Session 单独用 DB，避免混用） - 加注解：
@EnableRedisHttpSession(maxInactiveIntervalInSeconds = 1800)，自动启用并设定默认过期时间
避坑重点
很多线上问题不是不会配，而是忽略细节：
-
序列化别用 JDK 原生：它不兼容跨语言、体积大、易被反序列化攻击。推荐 JSON（Jackson）或
GenericJackson2JsonRedisSerializer，兼顾可读性与安全性。 -
连接池必须调优：Lettuce 是推荐客户端（支持响应式、连接复用）。重点关注
max-active（建议 64–128）、min-idle（8–16）、time-between-eviction-runs（30s），避免连接耗尽或空闲泄漏。 -
集群模式下注意读写分离策略：Redis Cluster 不支持读从节点（slave），所有读写都打主节点；若用哨兵+读写分离，需确认客户端是否开启
readFrom = REPLICA_PREFERRED，并接受最终一致性——比如刚登录成功，立刻刷新页面可能读到旧的未更新状态，需前端加防抖或服务端强制读主。
安全补充
Session 不只是功能问题，更是安全防线：
- 登录成功后必须调用
changeSessionId()（Spring Security 自动做），防止会话固定攻击（Session Fixation）。 - 敏感操作（如修改密码、支付）前，校验 Session 是否在最近 5 分钟内有活跃行为，避免长期有效的 Token 被盗用。
- Redis 实例禁止公网暴露，访问必须走内网；生产环境开启密码认证与 ACL 权限控制，最小权限原则。
