本文介绍如何在 yii2 框架中实现“同一 url 仅允许一名已登录用户实时访问”的独占锁机制，通过服务端状态管理（如缓存+心跳+超时清理）替代简单 session 标记，确保浏览器意外关闭、页面跳转或网络中断等场景下锁能及时释放。
本文介绍如何在 yii2 框架中实现“同一 url 仅允许一名已登录用户实时访问”的独占锁机制，通过服务端状态管理（如缓存+心跳+超时清理）替代简单 session 标记，确保浏览器意外关闭、页面跳转或网络中断等场景下锁能及时释放。
在 Yii2 中实现 URL 级别的实时独占访问控制（即“一人一页面”锁），关键在于服务端需准确感知用户是否“仍在活跃使用该页面”，而非仅依赖登录态或静态会话标记。直接使用 $_SESSION 存储页面占用者 ID（如 Yii::$app->session['editing_post_123'] = 456）存在严重缺陷：用户关闭浏览器、刷新页面、切换标签页或网络中断时，Session 不会自动清除，导致 URL 长期被错误锁定。
✅ 正确方案应结合三要素：分布式锁标识 + 心跳保活 + 自动过期清理。推荐使用 Yii2 内置的 Cache 组件（支持 Redis/Memcached）实现：
1. 定义唯一资源锁键名
对目标 URL（如 /post/update?id=123）生成确定性锁键，例如：
$resourceId = 'post_update_' . (int) Yii::$app->request->get('id'); // → 'post_update_123'
$lockKey = 'url_lock_' . md5($resourceId);
2. 在控制器操作前检查并加锁
在 PostController::actionUpdate() 开头添加锁逻辑：
public function actionUpdate($id)
{
$lockKey = 'url_lock_post_update_' . (int)$id;
$currentUser = Yii::$app->user->id;
// 尝试获取当前锁持有者（带 30 秒自动过期）
$lockedBy = Yii::$app->cache->get($lockKey);
if ($lockedBy !== false && $lockedBy != $currentUser) {
Yii::$app->session->setFlash('error', '该内容正由其他用户编辑中，请稍后再试。');
return $this->redirect(['index']); // 或返回 403
}
// 当前用户成功获得锁：写入自身 ID，并设置 30 秒 TTL（防死锁）
Yii::$app->cache->set($lockKey, $currentUser, 30);
// ✅ 关键：前端启动心跳续期（见下方 JS）
return $this->render('update', ['model' => $model]);
}
3. 前端心跳保活（防止误释放）
在视图文件末尾加入 JavaScript，每 15 秒向服务端发送一次续期请求：
<script>
// 页面加载后启动心跳
const lockKey = '<?= $lockKey ?>';
const heartbeat = setInterval(() => {
fetch('/site/keep-alive', {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify({ lock_key: lockKey })
}).catch(() => clearInterval(heartbeat)); // 失败则停止
}, 15000);
// 页面卸载前主动释放锁（可选增强）
window.addEventListener('beforeunload', () => {
fetch('/site/release-lock', {
method: 'POST',
body: JSON.stringify({ lock_key: lockKey })
});
});
</script>
4. 后端心跳与释放接口（SiteController）
public function actionKeepAlive()
{
if (!Yii::$app->user->isGuest) {
$lockKey = Yii::$app->request->post('lock_key');
Yii::$app->cache->set($lockKey, Yii::$app->user->id, 30); // 刷新 TTL
}
}
public function actionReleaseLock()
{
if (!Yii::$app->user->isGuest) {
$lockKey = Yii::$app->request->post('lock_key');
// 仅当当前用户是锁持有者时才释放（避免越权释放）
if (Yii::$app->cache->get($lockKey) == Yii::$app->user->id) {
Yii::$app->cache->delete($lockKey);
}
}
}
⚠️ 注意事项与最佳实践
- 绝不依赖 Session 存锁：Session 生命周期与页面活跃度无关，且无法跨设备/标签页协调；
- TTL 必须合理设置：30 秒是平衡响应性与容错性的常见值（用户断网 30 秒后锁自动释放）；
- 锁键需全局唯一且无歧义：建议包含控制器/动作/参数哈希，避免 post/update?id=123 和 user/update?id=123 冲突；
- 前端需优雅降级：若心跳失败，应提示用户“连接已断开，编辑可能失效”，并禁用提交按钮；
- 高并发场景补充：可结合 Redis 的 SET key value EX 30 NX 原子操作保证加锁可靠性（需自定义 Cache 组件）。
此方案真正实现了“用户离开即释放、他人进入即拦截”的实时协同控制，兼顾健壮性与用户体验，适用于后台编辑、在线考试、抢购等强互斥业务场景。
