在网络安全的战场上，验证码作为区分人类用户与机器程序的第一道防线，其重要性不言而喻。然而，传统字符验证码存在用户体验差、机器识别率高等问题，难以平衡安全性与易用性。

今天我们来聊一下 **"开源界最好用的行为验证码工具 tianai-captcha"**。

## tianai-captcha

基于以上问题，tianai-captcha（简称TAC）应运而生，它是一款基于Java开发的行为验证码系统，通过滑动、旋转、点选等交互方式，在提升安全性的同时显著改善了用户体验。该项目已加入Dromara开源社区，被誉为"开源界最好用的行为验证码工具"。

**项目资源**

* 在线体验：<https://captcha.tianai.cloud/>
* 源码地址：<https://gitee.com/dromara/tianai-captcha>
* 在线文档：<http://doc.captcha.tianai.cloud/>

**多样化的验证码类型**

tianai-captcha支持丰富的行为验证码类型，包括：

* 滑块验证码：通过轨迹分析识别人类操作特征
* 旋转验证码：基于角度匹配的防护方案
* 滑动还原验证码：动态生成算法确保每次挑战唯一
* 文字点选验证码：语义化交互提升无障碍体验
* 图标验证码：图形化识别，提升趣味性
* 语序验证码：要求用户按正确顺序排列词语
* 刮刮乐验证码：模拟现实刮奖体验

**安全性与用户体验的完美平衡**

与传统验证码相比，tianai-captcha在多个维度表现出色：

| 特性 | tianai-captcha | 传统验证码 |
| --- | --- | --- |
| 防护强度 | ⭐⭐⭐⭐⭐ | ⭐⭐ |
| 用户完成时间 | 约2.3秒 | 约5.8秒 |
| 移动端适配 | 全自动响应式 | 需手动调整 |
| 用户完成率 | 高达92% | 约85% |
| 恶意请求拦截率 | 98.7% | - |

**技术优势**

* 轻量级设计：核心包仅2.3MB，对系统资源消耗极小
* 高并发支持：分布式缓存支持下，验证数据TPS可达12,000+
* 快速响应：平均响应时间控制在150-200ms以内
* 多端兼容：支持PC端、移动端及iOS/Android内嵌Webview

## 前端集成

**兼容性**：Chrome、Firefox、Safari、Opera、主流手机浏览器、iOS 及 Android上的内嵌Webview

**框架支持**：H5、Angular、React、Vue2、Vue3

1、 将前端sdk的具体js文件下载到项目中、或者放到某个可以访问到地方，比如oss之类的可以被浏览器访问到的地方供加载函数调用 tac下载地址 <https://gitee.com/dromara/tianai-captcha/releases/tag/tianai-captcha-1.5.3> (opens new window)，里面包含tac.js和tac.css等

2、 引入初始化函数 load.js下载地址 <https://minio.tianai.cloud/public/static/captcha/js/load.min.js> (opens new window)可自己将load.js下载到本地(右键->另存为)

```
html

<html>
<head>
    
    <script src="load.min.js"></script>
</head>
<body>...</body>
</html>
```

3、创建一个div块用于渲染验证码， 该div用于装载验证码

```
html

 <div id="captcha-box"></div>
```

4、在需要调用验证码的时候执行加载验证码方法

```
js

function login() {
    // config 对象为TAC验证码的一些配置和验证的回调
    const config = {
        // 生成接口 (必选项,必须配置, 要符合tianai-captcha默认验证码生成接口规范)
        requestCaptchaDataUrl: "/gen",
        // 验证接口 (必选项,必须配置, 要符合tianai-captcha默认验证码校验接口规范)
        validCaptchaUrl: "/check",
        // 验证码绑定的div块 (必选项,必须配置)
        bindEl: "#captcha-box",
        // 验证成功回调函数(必选项,必须配置)
        validSuccess: (res, c, tac) => {
             // 销毁验证码服务
            tac.destroyWindow();
            console.log("验证成功，后端返回的数据为", res);
			// 调用具体的login方法
            login(res.data.token)
        },
        // 验证失败的回调函数(可忽略，如果不自定义 validFail 方法时，会使用默认的)
        validFail: (res, c, tac) => {
            console.log("验证码验证失败回调...")
            // 验证失败后重新拉取验证码
            tac.reloadCaptcha();
        },
        // 刷新按钮回调事件
        btnRefreshFun: (el, tac) => {
            console.log("刷新按钮触发事件...")
            tac.reloadCaptcha();
        },
        // 关闭按钮回调事件
        btnCloseFun: (el, tac) => {
            console.log("关闭按钮触发事件...")
            tac.destroyWindow();
        }
    }
    // 一些样式配置， 可不传
    let style = {
        logoUrl: null// 去除logo    
        // logoUrl: "/xx/xx/xxx.png" // 替换成自定义的logo   
    }
    // 这里分享一些作者自己调的样式供参考
    // const style = {
    //     // 按钮样式
    //     btnUrl: "https://minio.tianai.cloud/public/captcha-btn/btn3.png",
    //     // 背景样式
    //     bgUrl: "https://minio.tianai.cloud/public/captcha-btn/btn3-bg.jpg",
    //     // logo地址
    //     logoUrl: "https://minio.tianai.cloud/public/static/captcha/images/logo.png",
    //     // 滑动边框样式
    //     moveTrackMaskBgColor: "#f7b645",
    //     moveTrackMaskBorderColor: "#ef9c0d"
    // }
    
    // -------------- 拉起TAC验证码 -----------------
    
    // 参数1： tac文件的URL地址前缀， 目录里包含 tac的js和css等文件，
    //      比如参数为: http://xxxx/tac/, 该js会自动加载 http://xxxx/tac/js/tac.min.js 、http://xxxx/tac/css/tac.css等
    //      具体的js文件可以在 https://gitee.com/tianai/tianai-captcha-web-sdk/releases/tag/1.2 下载
    // 参数2： tac验证码相关配置
    // 参数3： tac窗口一些样式配置
    window.initTAC("./tac", config, style).then(tac => {
        tac.init(); // 调用init则显示验证码
    }).catch(e => {
        console.log("初始化tac失败", e);
    })
}
```

## SpringBoot 集成

对于Spring Boot项目，只需简单几步即可完成集成：

### 添加Maven依赖

```
xml

<dependency>
    <groupId>cloud.tianai.captcha</groupId>
    <artifactId>tianai-captcha-springboot-starter</artifactId>
    <version>1.5.3</version>
</dependency>
```

### 配置 application.yml

在application.yaml中配置验证码相关配置

```
yaml

# 滑块验证码配置， 详细请看 cloud.tianai.captcha.autoconfiguration.ImageCaptchaProperties 类
captcha:
  # 如果项目中使用到了redis，滑块验证码会自动把验证码数据存到redis中， 这里配置redis的key的前缀,默认是captcha:slider
  prefix: captcha
  # 验证码过期时间，默认是2分钟,单位毫秒， 可以根据自身业务进行调整
  expire:
    # 默认缓存时间 2分钟
    default: 10000
    # 针对 点选验证码 过期时间设置为 2分钟， 因为点选验证码验证比较慢，把过期时间调整大一些
    WORD_IMAGE_CLICK: 20000
  # 使用加载系统自带的资源， 默认是 false(这里系统的默认资源包含 滑动验证码模板/旋转验证码模板,如果想使用系统的模板，这里设置为true)
  init-default-resource: true
  # 缓存控制， 默认为false不开启
  local-cache-enabled: false
  # 缓存开启后，验证码会提前缓存一些生成好的验证数据， 默认是20
  local-cache-size: 20
  # 缓存开启后，缓存拉取失败后等待时间 默认是 5秒钟
  local-cache-wait-time: 5000
  # 缓存开启后，缓存检查间隔 默认是2秒钟
  local-cache-period: 2000
  # 配置字体包，供文字点选验证码使用,可以配置多个，不配置使用默认的字体
  font-path:
    - classpath:font/SimHei.ttf
  secondary:
    # 二次验证， 默认false 不开启
    enabled: false
    # 二次验证过期时间， 默认 2分钟
    expire: 120000
    # 二次验证缓存key前缀，默认是 captcha:secondary
    keyPrefix: "captcha:secondary"
```

### 生成和验证验证码

使用 `ImageCaptchaApplication` 生成验证码数据对象

```
java

@RestController
public class TestController {
      @Autowired
      private ImageCaptchaApplication application;
  
      @GetMapping("/genCaptcha")
      public void genCaptcha() {
          // 1.生成验证码(该数据返回给前端用于展示验证码数据)
          // 参数1为具体的验证码类型， 默认支持 SLIDER、ROTATE、WORD_IMAGE_CLICK、CONCAT 等验证码类型，详见： `CaptchaTypeConstant`类
          return  application.generateCaptcha(CaptchaTypeConstant.SLIDER);
      }
  }
```

### 验证码数据验证

使用 `ImageCaptchaApplication` 校验客户端提交的验证码数据

```
java

@RestController
public class TestController {
  @Autowired
  private ImageCaptchaApplication application;

  @PostMapping("/check")
  public ApiResponse<?> checkCaptcha(@RequestBody Data data) {
      ApiResponse<?> response = imageCaptchaApplication.matching(data.getId(), data.getData());
      if (response.isSuccess()) {
          // 验证码验证成功，此处应该进行自定义业务处理， 或者返回验证token进行二次验证等。 
          return ApiResponse.ofSuccess(Collections.singletonMap("validToken", data.getId()));
      }
      return response;
  }

  @lombok.Data
  public static class Data {
      // 验证码id
      private String  id;
      // 验证码数据
      private ImageCaptchaTrack data;
      // 可以加用户自定义业务参数...
  }

}
```

## 高级功能与自定义配置

### 自定义验证码资源

通过扩展ResourceStore接口添加自定义背景图片

添加模板使用 addTemplate(type1, template1) 方法， type1： 验证码类型， template1: 验证码模板相关数据

添加背景图片使用 addResource(type1, res1)方法, type1: 验证码类型， res1: 验证码背景图片数据

```
java

@Component
@RequiredArgsConstructor
public class CaptchaResourceConfiguration {

    private final CrudResourceStore resourceStore;

    @PostConstruct
    public void init() {

        // 滑块验证码 模板 (系统内置) ,这里添加的模板等同于  captcha.init-default-resource=true , 如果配置中设置了加载默认模板，这里模板可不用配置
        ResourceMap template1 = new ResourceMap("default", 4);
        template1.put("active.png", new Resource(ClassPathResourceProvider.NAME, DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/1/active.png")));
        template1.put("fixed.png", new Resource(ClassPathResourceProvider.NAME, DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/1/fixed.png")));
        ResourceMap template2 = new ResourceMap("default", 4);
        template2.put("active.png", new Resource(ClassPathResourceProvider.NAME, DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/2/active.png")));
        template2.put("fixed.png", new Resource(ClassPathResourceProvider.NAME, DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/2/fixed.png")));
        // 旋转验证码 模板 (系统内置)
        ResourceMap template3 = new ResourceMap("default", 4);
        template3.put("active.png", new Resource(ClassPathResourceProvider.NAME, StandardSliderImageCaptchaGenerator.DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/3/active.png")));
        template3.put("fixed.png", new Resource(ClassPathResourceProvider.NAME, StandardSliderImageCaptchaGenerator.DEFAULT_SLIDER_IMAGE_TEMPLATE_PATH.concat("/3/fixed.png")));

        // 1. 添加一些模板
        addTemplate(CaptchaTypeConstant.SLIDER, template1);
        addTemplate(CaptchaTypeConstant.SLIDER, template2);
        addTemplate(CaptchaTypeConstant.ROTATE, template3);

        // 2. 添加自定义背景图片, resource 的参数1为资源类型(默认支持 classpath/file/url ), resource 的参数2为资源路径, resource 的参数3为标签
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/a.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/b.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/c.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/d.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/e.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/g.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/h.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/i.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.SLIDER, new Resource("classpath", "bgimages/j.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.ROTATE, new Resource("classpath", "bgimages/48.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.CONCAT, new Resource("classpath", "bgimages/48.jpg", "default"));
        resourceStore.addResource(CaptchaTypeConstant.WORD_IMAGE_CLICK, new Resource("classpath", "bgimages/c.jpg", "default"));
    }
}
```

### 二次验证增强安全

对于高安全场景，可以开启二次验证，如果设置配置文件 `captcha.secondary.enabled=true` 时开启了二次验证

```
java

@RestController
public class TestController {
    @Autowired
    private ImageCaptchaApplication sca;

    @RestController
    public class TestController {
        @Autowired
        private ImageCaptchaApplication application;

        @PostMapping("/login")
        public void genCaptcha(@RequestParam String validToken) {
            // 1.生成验证码(该数据返回给前端用于展示验证码数据)
            // 参数1为具体的验证码类型， 默认支持 SLIDER、ROTATE、WORD_IMAGE_CLICK、CONCAT 等验证码类型，详见： `CaptchaTypeConstant`类
            boolean valid = ((SecondaryVerificationApplication) application).secondaryVerification(id);
            if (valid) {
                // 验证码验证成功，此处进行自定义业务处理
            }
            throw new RuntimeException("验证码验证失败");
        }
    }
    
}
```

### 性能调优建议

* 生产环境建议配置Redis集群存储验证数据，提升并发性能
* 图片资源建议使用CDN加速加载，提升用户体验
* 缓存配置根据业务量调整本地缓存大小，默认20个验证码

## 注意事项

### 环境要求

* JDK 1.8+ 环境运行最佳
* Spring Boot 2.x 完全兼容
* Redis（可选，生产环境推荐）

### 安全实践

* 定期更新背景图资源，建议每周更新，防止图库攻击
* 开启IP频率限制，建议10次/分钟，防止暴力攻击
* 禁止前端直接返回校验原始数据，确保数据安全

### 移动端适配

* 验证区域不小于300×150px，确保触摸精度
* 调整触摸事件采样频率，优化移动端体验
* 使用响应式布局方案，适配不同屏幕尺寸

## 总结

tianai-captcha 作为一款开源行为验证码工具，成功解决了传统验证码在安全性、用户体验和开发效率之间的平衡问题。通过简单集成，开发者可以快速为系统添加多种炫酷且安全的行为验证码，有效防御机器攻击的同时提升用户满意度。

无论是创业项目还是企业级应用，tianai-captcha 都能提供可靠的验证码解决方案，让开发者专注于核心业务，而不必在验证码模块投入过多开发维护成本。

Java 工具包 - 开源界最好用的行为验证码工具 tianai-captcha

整理一些阅读过的与收集的电子书籍

## 微服务

[《分布式服务架构.原理、设计与实战》](https://pan.quark.cn/s/c9c6e553eafd)

[《分布式文章汇总 v1.2 2021-03-23》](https://pan.quark.cn/s/8e11d4317fac)

[《深入分布式缓存 - 从原理到实践-完整版(带标签)》](https://pan.quark.cn/s/df627b816937)

[《Spring Cloud微服务全栈技术与案例解析》](https://pan.quark.cn/s/174887bc7fba)

[《Spring+Cloud与Docker微服务架构实战》](https://pan.quark.cn/s/6ad6ab7e7ff9)

## 提升功力

[《亿级流量网站架构核心技术》](https://pan.quark.cn/s/a95004051269)

[《深入理解Java虚拟机：JVM高级特性与最佳实践(第三版)》](https://pan.quark.cn/s/d2a5c5412590)

[《阿里工程师的自我修养》](https://files.alicdn.com/tpsservice/a3eafb12d315e3363de1e7dfd1daa0b7.pdf?spm=a2c4e.10696291.0.0.3e9d19a41uFUms&file=a3eafb12d315e3363de1e7dfd1daa0b7.pdf)

[《阿里巴巴 Java 开发手册 1.4.0》](https://ucc.alicdn.com/download/%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4Java%E5%BC%80%E5%8F%91%E6%89%8B%E5%86%8C1.4.0.pdf)

[《设计模式之禅》](https://pan.quark.cn/s/1bcd447ac679)

[《大话数据结构》](https://pan.quark.cn/s/019241020062)

[《Spring 5核心原理与30个类手写实战》](https://pan.quark.cn/s/b33c4db659bc)

[《Spring源码深度解析（第2版）》](https://pan.quark.cn/s/286b31f6fe54)

[《SpringBoot学习笔记完整教程》](https://pan.quark.cn/s/d0a4acd7998f)

[《Docker中文手册》](https://pan.quark.cn/s/f721bf18c019)

[《阿里巴巴 DevOps 实践手册》](https://pan.quark.cn/s/0e8a5286d1fe)

[《鸟哥的linux私房菜\_基础学习篇（第三版）》](https://pan.quark.cn/s/946c35bb6109)

## 中间件

[《Redis深度历险：核心原理和应用实践》](https://pan.quark.cn/s/2c10148e422b)

[《Redis开发与运维(完整版)》](https://pan.quark.cn/s/35f04b8819b2)

[《RabbitMQ系列教程》](https://pan.quark.cn/s/d4578c0b9696)

[《Redis 高手心法-码哥字节原创》](https://pan.quark.cn/s/d070ded7d89a)

[《Redis最佳实践与实战指南(阿里云出品)》](https://pan.quark.cn/s/b6bcf4c9a65e)

[《Rocketmq源码解析》](https://pan.quark.cn/s/40a74636d87c)

## Mysql

[《深入MySQL实战(阿里云出品)》](https://pan.quark.cn/s/7cad5afe831a)

[《高性能MySQL》](https://pan.quark.cn/s/e45129b39bb2)

## 并发编程

[《AVA并发编程实战》](https://pan.quark.cn/s/fa205d47fb76)

[《实战Java高并发程序设计》](https://pan.quark.cn/s/08e2fefb81fa)

## 面试相关

[《Java面试题合集最新版(485页)》](https://pan.quark.cn/s/fc14d50ad333)

[《JAVA面试核心知识点整理(283页)》](https://pan.quark.cn/s/e640785564ca)

[《互联网大厂面试题库大全》](https://pan.quark.cn/s/f019d87bacba)

[《程序员面试宝典-阿里出品》](https://pan.quark.cn/s/89e13b0ae2f5)

[《Java开发手册-灵魂13问(阿里出品)》](https://pan.quark.cn/s/867199916879)

## 全栈

[《Vue.js全家桶零基础入门到进阶项目实战》](https://pan.quark.cn/s/d739b9854550)

我的图书室

生产中出现了 `org.springframework.transaction.UnexpectedRollbackException: Transaction rolled back because it has been marked as rollback-only` 异常，结合源码分析下原因

## 示例

代码之间的调用如下

```
java

    @Transactional(rollbackFor = Exception.class)
    public void test() {
        // 测试出现 "Transaction rolled back because it has been marked as rollback-only"
        try {
            logService.testRockBack();
        } catch (Exception e) {
            System.out.println("try catch Exception : " + e.getMessage());
        }
    }
    
    
    @Override
    @Transactional(rollbackFor = Exception.class)
    public void testRockBack() {
        int i = 0;
        System.out.println(1/i);
    }
```

接口调用后，出现以下异常

![image.png](https://blog.liushigong.cn/static/img/b688dd2eba11571c5d581c5d7be0c98d.image.webp)

### 问题原因

在多个方法都有 `@Transactional`注解，A调用B，且把B的调用进行了try-catch

### 分析

从源码中开始分析，在 `AbstractPlatformTransactionManager #processRollback` 中，设置 `unexpectedRollback` 为 true 时，才会抛出此异常

![image.png](https://blog.liushigong.cn/static/img/1d55cdb2f359ca6c6da676fd221cf2d5.image.webp)

继续查看源码的调用栈，找到其 `processRollback(defStatus, true)` 方法处调用，入参为 true，那正常应该为不会调用到此方法，为什么此处会调用到呢？

我们接着分析下 `!shouldCommitOnGlobalRollbackOnly() && defStatus.isGlobalRollbackOnly()` 这个判断条件

```
java

    /**
     * This implementation of commit handles participating in existing
     * transactions and programmatic rollback requests.
     * Delegates to {@code isRollbackOnly}, {@code doCommit}
     * and {@code rollback}.
     * @see org.springframework.transaction.TransactionStatus#isRollbackOnly()
     * @see #doCommit
     * @see #rollback
     */
    @Override
    public final void commit(TransactionStatus status) throws TransactionException {
        if (status.isCompleted()) {
            throw new IllegalTransactionStateException(
                            "Transaction is already completed - do not call commit or rollback more than once per transaction");
        }

        DefaultTransactionStatus defStatus = (DefaultTransactionStatus) status;
        if (defStatus.isLocalRollbackOnly()) {
            if (defStatus.isDebug()) {
                    logger.debug("Transactional code has requested rollback");
            }
            processRollback(defStatus, false);
            return;
        }

        if (!shouldCommitOnGlobalRollbackOnly() && defStatus.isGlobalRollbackOnly()) {
            if (defStatus.isDebug()) {
                    logger.debug("Global transaction is marked as rollback-only but transactional code requested commit");
            }
            processRollback(defStatus, true);
            return;
        }

        processCommit(defStatus);
    }
```

查看方法源码 `shouldCommitOnGlobalRollbackOnly()` 的实现底层，发现默认返回 false，那么此判断条件中一定为 true, 不会影响判断结果，核心的问题还是出现在 `defStatus.isGlobalRollbackOnly()` 的校验上，我们继续分析此方法

![image.png](https://blog.liushigong.cn/static/img/ab3bd73c9c220aa9a751c990563f068f.image.webp)

通过断点，可以确认此处判断调用到 `DataSourceTransactionManager #isRollbackOnly` 方法，其核心的 `rollbackOnly` 参数为 true，所以上述的逻辑判断中才会执行进程回滚的动作

![image.png](https://blog.liushigong.cn/static/img/83ad058e9d3abed168525012472725ca.image.webp)

![image.png](https://blog.liushigong.cn/static/img/ed2104f313fc0481ffe8bafc1dc39ff3.image.webp)

上述已然了解参数的定义，接下来查找下源码中如何设置成 true，从源码中发现如下代码设置为true

```
java

    /**
     * Mark the resource transaction as rollback-only.
     */
    public void setRollbackOnly() {
        this.rollbackOnly = true;
    }
```

查看代码的引用，发现一个熟悉的调用 `DataSourceTransactionManager #setRollbackOnly`

```
java

    public void setRollbackOnly() {
        getConnectionHolder().setRollbackOnly();
    }
```

![image.png](https://blog.liushigong.cn/static/img/f2944cb53c962c8811e475cf331973bf.image.webp)

从堆栈中查看调用信息，发现又回到了老朋友 `#processRollback` 方法上，

![image.png](https://blog.liushigong.cn/static/img/953f7915fa750dcc56443dcee5e8bc0a.image.webp)

此处有个判断 `status.hasTransaction()` 结果为 true，表示存在事务，在这做个事务源码的延伸，这部分为多个事务之间嵌套的处理，源码处理的位置如下

![image.png](https://blog.liushigong.cn/static/img/4cc1892cba6a84c9e747e836a2a154e6.image.webp)

继续查找堆栈信息，可以找到 `completeTransactionAfterThrowing` 方法

![image.png](https://blog.liushigong.cn/static/img/a9ee0e024c86a951cb4a32141dcec6c7.image.webp)

继续往上，就看到这是 `try catch` 部分，我们都知道事务底层实现就是aop，由于此问题出现的原因是嵌套事务，且嵌套中的事务抛出异常，当异常抛出后，就会被捕获，且将底层 `rollbackOnly` 设置为 true，此时接下来回归到到主线上调用 `commitTransactionAfterReturning` 方法进行提交

![image.png](https://blog.liushigong.cn/static/img/91f879acc6753b7502c5cecf5cdd60c5.image.webp)

其实走到这就很明朗了，此处代码已经是文章开头追溯的那部分源码

![image.png](https://blog.liushigong.cn/static/img/84287a5c3302beb547f42acf57164410.image.webp)

## 总结

梳理下源码的流程，当嵌套内事务抛出异常时，会将**全局仅回滚标记** `rollbackOnly = true` 设置为 true, 从源码的正常流程来说会把异常继续 throw，但是当我们外层事务 `try catch` 后，就导致异常无法抛出，最外层事务在执行后续 `commit` 时，会校验是否为**全局回滚参数**，抛出 `throw new UnexpectedRollbackException("Transaction rolled back because it has been marked as rollback-only")`;

![image.png](https://blog.liushigong.cn/static/img/5f37493125d6c6c73ecf6f57406591ea.image.webp)

Spring 多重事务嵌套产生的异常

在开发的过程中，使用事务与锁是解决一些问题最常用的方式，但是当这俩个结合起来你真的会用吗？在高并发的场景下会出现哪些问题？要如何避免这些问题？接下来，带你了解事务与锁之间真正的打开方式。

开发过程中，扣减库存是最经典的场景之一，接下来以此场景模拟扣减库存的代码实现

## 场景模拟

```
java

// 实体
@Data
public class MaterialStock {

    /**
     * 物料库存id
     */
    private Long id;

    /**
     * 物料名称
     */
    private String name;

    /**
     * 库存数量
     */
    private Long stockNum;
}
```

```
java

// 加锁 - 此处等同于分布式锁
ReentrantLock lock = new ReentrantLock();

// 实现方法
@SneakyThrows
@Override
@Transactional
public void updateById(Long id) {
    lock.lock();

    try {
        // 查询物料库存，扣减，然后更新库存
        MaterialStock materialStock = materialStockMapper.selectById(id);
        Long stockNum = materialStock.getStockNum();
        if (materialStock.getStockNum() <= 0) {
            log.info("库存不足");
            return;
        }
        materialStock.setStockNum(stockNum - 1);
        materialStockMapper.updateById(materialStock.getId(), materialStock.getStockNum());
        log.info("当前库存数量:{}\t，更新后库存数量:{}", stockNum, materialStock.getStockNum());

        // 其他处理，耗时 500ms
        TimeUnit.MILLISECONDS.sleep(500);
    }finally {
        // 释放锁
        lock.unlock();
    }
}
```

```
java

// 单元测试
public void test3(){
    for (int i = 0; i < 30; i++) {
        new Thread(() -> customExecutorService.updateById(1L)).start();
    }
}
```

接下来，模仿并发下的场景，设置20个库存，使用30个线程同步进行扣减，查看库存扣减的情况

![image.png](https://blog.liushigong.cn/static/img/17122a07c22211fffc8c8442411cd22e.image.webp)

可以发现，库存中出现了少扣的情况，按照我们预想的执行，流程上应该是【加锁 -> 查询库存 -> 扣减库存 -> 更新库存 -> 释放锁】，数据上【线程数 30 - 库存数 20 = 剩余库存数 10】

现在看来，锁应该是失效了，那这是怎么回事呢？

## 代码分析

首先分析，一定是在【查询库存】的环节异常，将上次扣减的库存查询出来，那出现这种情况只有两种可能性，一种是【加锁】环节没有生效，一种就是【更新库存】没有执行成功，目前代码上加锁逻辑没有任何问题，那么出现问题的就只能是【更新库存】了，通过对更新库存的操作进行断点，我们查看库存的扣减情况，下面过程中发现当【更新库存 -> 释放锁】的步骤执行完，数据库中的数据并没有更新，事务并没有提交。

![image.png](https://blog.liushigong.cn/static/img/1f685f9722aeb005f2fad4621fd17c4e.image.webp)

上面场景中，上一次线程库存数量已更新为18个，但是当前线程读取到的还是19个，且对此库存进行扣减，初步分析为上一个事务没有提交，当前线程就已经读取库存了。

说到这，了解事务实现原理的童鞋可能已经分析出来了，**事务底层是通过aop实现，aop底层又是动态代理对象实现，此时上一个线程update方法执行结束，锁已经释放了，但是整个service方法还没有执行结束，后置处理中的事务还没有提交，其他线程此时开始加锁读取库存数量，就导致了此问题的产生**。

## 解决方式

解决方式就比较多了，根据不同业务复杂度，可做不同的处理

1、业务场景简单的情况，将锁直接提到上层，调用带事务的service即可

```
java

    public void test3(){
        // 加锁
        ReentrantLock lock = new ReentrantLock();
        for (int i = 0; i < 30; i++) {
            new Thread(() -> {
                lock.lock();
                try {
                    customExecutorService.updateById(1L);
                }finally {
                    // 释放锁
                    lock.unlock();
                }
            }).start();
        }
    }
```

查看数据，发现正常扣减了

![image.png](https://blog.liushigong.cn/static/img/9962b4027812cdc7f34665cb0fb657cc.image.webp)

2、业务场景复杂的情况，要考虑锁的力度，根据业务逻辑拆分接口，可将逻辑校验都提到代码最前方，将库存校验留到校验的最后，且与更新库存进行绑定，进行加锁处理，流程如下

```
java

    // 加锁 - 此处等同于分布式锁
    ReentrantLock lock = new ReentrantLock();
    
    @Override
    public void updateById(Long id) {
        try {
            // 其他逻辑处理...
            
            lock.lock();
            // 处理事务
            stockNum(id);
        }finally {
            // 释放锁
            lock.unlock();
        }
    }

    @SneakyThrows
    @Transactional
    void stockNum(Long id) {
        // 查询物料库存，扣减，然后更新库存
        MaterialStock materialStock = materialStockMapper.selectById(id);
        Long stockNum = materialStock.getStockNum();
        if (materialStock.getStockNum() <= 0) {
            log.info("库存不足");
            return;
        }
        materialStock.setStockNum(stockNum - 1);
        materialStockMapper.updateById(materialStock.getId(), materialStock.getStockNum());
        log.info("当前库存数量:{}\t，更新后库存数量:{}", stockNum, materialStock.getStockNum());

        // 其他IO处理，耗时 500ms
        TimeUnit.MILLISECONDS.sleep(500);
    }
```

## 总结

解决这个问题的本质，**就是不要将锁，放到被事务方法中**，同时也要思考如果是其他aop切面或者自定义代理了方法会不会有影响。

往往开发的过程中使用的技术体系与底层的实现原理息息相关，掌握原理带动大脑思考

基于 Spring 声明式事务下锁失效的场景分析

对于源码的掌握我了然于胸，记得 21 年开始学习 Spring IOC 源码的时候，我足足看了半年多，一点一点的去分析，可惜当时还没开始写博客，都是做思维导图和流程图居多，后续在整理成系列的博客文章，此处直接晒图，看图捋一遍过程，也相当于复习了



**Spring IOC 全生命周期流程**

![image.png](https://blog.liushigong.cn/static/img/98d968115dfc62ac935431d4ade67364.image.webp)

**Spring AOP & 事务执行流程**

![image.png](https://blog.liushigong.cn/static/img/eb385e2c7555637a6880145745418f07.image.webp)

**Spring MVC 源码调用过程**

![image.png](https://blog.liushigong.cn/static/img/17c25d33c11fb8c2c621bed17ec79e9e.image.webp)

**Spring MVC 核心执行流程**

![image.png](https://blog.liushigong.cn/static/img/4fece2d1c81643a8abd16270242cf1db.image.webp)