Intershop Page Cache环境下OAuth2登录/登出场景的PGID失效处理方案咨询

这个问题我之前在类似的多应用共享缓存场景里碰到过，核心就是要在用户身份（JWT）切换时，主动触发PGID的刷新，避免旧的缓存键关联错误的页面内容。下面是一套可行的实现思路：

核心逻辑梳理 #

登录/登出操作会直接改变用户的身份信息（JWT内容变化），而PGID是基于用户组的缓存分组依据。我们需要在身份变更时给webadapter一个明确的信号：当前缓存的PGID已失效，请重新获取，且获取新PGID的过程必须绑定当前有效的JWT，确保返回的PGID对应当前用户组。

具体实现步骤 #

1. 在Login-Service的登录/登出流程中添加PGID失效标记 #

当用户完成登录或登出操作时，除了处理JWT Cookie，额外设置一个非HttpOnly、临时有效的Cookie（比如命名为pgid-refresh-trigger）：

• 登录成功：设置pgid-refresh-trigger为当前时间戳，同时确保JWT Cookie已正确设置。
• 登出成功：设置pgid-refresh-trigger为当前时间戳，同时清空JWT Cookie。

这里用非HttpOnly的Cookie是为了让前端也能感知到，但核心是让webadapter在接收到请求时能读取到这个标记。

2. 配置webadapter的缓存前置校验逻辑 #

修改webadapter的缓存读取逻辑，增加前置校验步骤：

• 每次请求到达时，先检查pgid-refresh-trigger Cookie是否存在：
  • 如果存在：
    1. 忽略当前缓存中存储的PGID值
    2. 携带当前请求的JWT Cookie，向应用服务器的PGID获取接口发起请求，拿到新的PGID
    3. 更新本地缓存的PGID关联记录
    4. 删除pgid-refresh-trigger Cookie，避免重复触发刷新
    5. 用新的PGID作为缓存键，获取或生成对应的页面内容
  • 如果不存在：
    1. 正常读取缓存中存储的PGID
    2. 用URL + PGID作为缓存键，返回对应的缓存内容

3. 确保应用服务器的PGID接口能正确解析JWT #

应用端的PGID获取接口需要支持接收JWT并解析用户信息，根据用户所属组返回对应的PGID：

• 接口要严格验证JWT的有效性（签名、过期时间等）
• 当JWT为匿名状态（登出后），返回匿名用户对应的PGID
• 这个接口要保证响应速度，因为它会成为缓存读取的前置步骤，避免影响性能

4. 可选：临时缓存降级策略（应对高并发场景） #

如果担心PGID刷新过程影响性能，可以在pgid-refresh-trigger存在时，临时用URL + JWT哈希值作为缓存键：

• 这样即使PGID还没刷新完成，也能返回对应当前用户的内容（而不是旧用户组的缓存）
• 等新PGID获取完成后，再将临时缓存的内容关联到新的PGID键下，逐步替换旧缓存

关键注意事项 #

• Cookie生命周期控制：pgid-refresh-trigger Cookie的过期时间设为极短（比如1分钟），或者在webadapter处理后立即删除，防止无效触发。
• 跨实例同步：如果部署了多个webadapter实例，因为失效标记存在于客户端Cookie中，每个实例都能接收到信号，无需额外的分布式同步。
• JWT安全验证：无论在webadapter还是应用服务器端，JWT的验证都不能放松，防止恶意请求伪造身份获取错误的PGID。
• 测试覆盖：要重点测试登录后切换用户组、登出后访问需登录页面这两个场景，确保缓存内容正确切换。

内容的提问来源于stack exchange，提问作者Sven Bluege