Spring MVC 獲取 HttpServletRequest/Response/Session：為何不能直接注入？正確姿勢是什麼？

核心問題：生命週期不匹配

HttpServletRequest、HttpServletResponse、HttpSession 都是 請求級/會話級 對象：

• Request/Response：每次 HTTP 請求創建，響應結束銷毀
• Session：用戶首次交互創建，超時或手動銷毀才結束

而 Spring Bean 默認是 單例，容器啟動時實例化，應用關閉才銷毀。若直接注入，高併發下所有請求共用同一個 Request/Response 對象，會導致嚴重的線程安全問題與數據錯亂。

Spring MVC 官方解決方案：控制器方法參數直接聲明

Spring MVC 會自動將當前請求相關對象注入到處理器方法參數中：

@Controller
public class MyController {

    @GetMapping("/example")
    public String handle(HttpServletRequest request, 
                         HttpServletResponse response, 
                         HttpSession session) {
        // 直接使用，線程安全
        String uid = request.getParameter("uid");
        session.setAttribute("user", uid);
        response.setHeader("X-Custom", "value");
        return "viewName";
    }
}

進階：非控制器層獲取當前請求上下文

若在 Service、Util、Interceptor 等非控制器類中需要訪問，可使用 RequestContextHolder：

// 獲取當前請求的 HttpServletRequest
HttpServletRequest request = ((ServletRequestAttributes) 
    RequestContextHolder.getRequestAttributes()).getRequest();

// 獲取 HttpServletResponse (需配置 RequestContextListener 或 Filter)
HttpServletResponse response = ((ServletRequestAttributes) 
    RequestContextHolder.getRequestAttributes()).getResponse();

// 獲取 Session (建議從 request 獲取)
HttpSession session = request.getSession(false); // false 表示不自動創建

前提：在 web.xml 中註冊 RequestContextListener 或 Spring MVC 的 DispatcherServlet 已啟用 requestContextAttribute。

最佳實踐總結

理解生命週期差異，避免在單例 Bean 中持有請求級對象，是 Spring 開發的基本功。