CDI1.1にて@SessionscopedなBeanをServletやServletFilterにInjectした場合スレッドセーフに扱えますか

Question

CDI1.1にて@SessionscopedなBeanをServletやServletFilterにInjectした場合
スレッドセーフに扱えますか。（Httpセッションは共有して）
情報ソースや検証方法として良い方法もあれば教えていただきたいです。

<環境>

• JavaEE7 (CDI 1.1)
• Glassfish 4.1
• JDK 1.8

---

以下のようにServletやServletFilterに@SessionScopedなBeanをInjectした場合、
スレッドごとに適切なBeanがCDIから提供されるのでしょうか。

CDI仕様（JSR346）や書籍、Web情報を確認して自分なりに理解したこととしては以下です。

• ServletやServletFilterはアプリケーション内で１つのインスタンスをマルチスレッドで利用される
• CDIにてInjectされるインスタンスは実際のクラスを継承した動的なクライアントプロキシインスタンス
• クライアントプロキシ経由で実際のインスタンスにアクセスすることでスレッドごとに適切なインスタンスをCDIが提供してくれる（->スレッドセーフになる？）

/**
 * SessionScopedなBean
 */
@Named
@SessionScoped
class MySessionBean implements Serializable {
    private String id;
    private String name;
    // 以下アクセサ
    ...
}

/**
 * Servlet
 */
@WebServlet(name = "hogeServlet", urlPatterns = {"/hoge/*"})
class HogeServlet extends HttpServlet {

    // SessionBean
    @Inject
    private MySessionBean sessionBean;

    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse res)
        throws ServletException, IOException {
        // 他の処理でsessionBeanに情報がセットされているとする

        // セッション情報の参照
        System.out.println("sessionBean.id: " + sessionBean.getId());
        System.out.println("sessionBean.name: " + sessionBean.getName());

        // 以下、何か処理
        ...
    }
}

/**
 * Servlet Filter
 *     web.xmlにfilter定義、mapping定義をする
 */
class HogeFilter implements Filter {

    // SessionBean
    @Inject
    private MySessionBean sessionBean;

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {

            // セッション情報設定
            sessionBean.setId("hogehoge0001");  // 実際にはrequestのQueryStringから値を設定
            sessionBean.setName("hoge太郎");    // 実際にはrequestのQueryStringから値を設定

            // chain
            chain.doFilter(request, response);

            // セッション情報参照
            System.out.println("sessionId: " + request.getSession().getId());
            System.out.println("sessionBean.id: " + sessionBean.getId());
            System.out.println("sessionBean.name: " + sessionBean.getName());
	}

    // 以下、必要なメソッドを実装
    ....
}

上記のようなコードを利用して、２つのブラウザから同時アクセスして
（HogeServlet#doGet()に時間のかかる処理を実装して同時アクセスできるようにして）
動作検証しました。
以下のような結果となったため、うまく動作しているようでしたが技術的に理解できていません。

• ブラウザAでクエリセット(GETパラメータ)した値がセッションIDとともに正しくコンソール出力される
• ブラウザBでクエリセット(GETパラメータ)した値がセッションIDとともに正しくコンソール出力される

Answer 1

CharmSystemsさまのご回答も参考になりましたが、
典拠となる部分の確証がとれないため+Voteとさせていただきました。
以下の参照および、サンプルソースでの動作検証（スレッド共有が発生しないこと）を持って自己解決とします。

参考情報

• JavaEE7サンプル(GlassFish Community[https://glassfish-samples.java.net/])のサーブレットサンプル
• JSR346 5.4. Client proxies(https://jcp.org/en/jsr/detail?id=346)

Answer 2

session scopeによって参考に掲載されているコードはThread-safeになります。
ただし、
・Beanや途中処理にSingletonが含まれる場合。
・VectorやSimpleDateFormatなどの利用。
によりBeanプロパティの内容はThreas-safeではなく期待値は保障されなくなります。
また、検証確認で手動でブラウザでの動作確認では不十分です。
OSSであればab(ApacheBench)やJMeterなどを利用した方が良いです。

Comments

[takyafumin]

ご回答ありがとうございます。
Beanではスレッドセーフなクラスのみ利用するよう注意致します。

＞session scopeによって参考に掲載されているコードはThread-safeになります。
この部分、典拠となる情報ソースがございましたら教えていただけないでしょうか。

＞また、検証確認で手動でブラウザでの動作確認では不十分です。
＞OSSであればab(ApacheBench)やJMeterなどを利用した方が良いです。
同時アクセスの発生頻度を高めるため、JMeterなどの負荷テストツール
（大量スレッドアクセス）の利用を勧めていただいているという理解で
よろしいでしょうか。
@SessionScopedの代わりにクラスメンバ変数などを用いたケースとの比較で
検証してみようと思います。