请解释 Spring 框架中 @SessionAttribute 注解的用途，并说明它与 @RequestAttribute 的主要区别。
考察说明
考查对 Spring MVC 中会话属性绑定机制的理解，以及与其他注解的区分。
回答思路
- 【回答框架 1】@SessionAttribute 用于将 HTTP 会话（HttpSession）中的属性绑定到控制器方法的参数上。它支持两种用法：直接在方法参数上标注，或与 @ModelAttribute 配合使用。其核心作用是从会话中读取指定名称的属性值并注入方法参数，避免手动从 session 获取并转型。
- 【回答框架 2】与 @RequestAttribute 的区别在于数据来源：@SessionAttribute 从会话作用域获取，@RequestAttribute 从当前请求的 request 作用域获取（通常由拦截器或过滤器预先设置）。两者都用于读取预先存在的属性，而 @ModelAttribute 则可能先创建或从数据绑定中生成模型属性。
- 【回答框架 3】使用 @SessionAttribute 时，若会话中不存在指定属性，会抛出 ServletRequestBindingException 异常，因此适合在确有属性存在的情况下使用，比如登录用户信息或购物车数据。对于可选属性，可设置 required=false 或使用 @SessionAttributes 来处理，但后者用于将模型属性自动存入会话，与前者方向相反。
- 【回答框架 4】在实际应用中，@SessionAttribute 常用于获取会话中保存的用户对象、权限标志等。但需注意会话并发访问的安全性，以及避免将大对象或敏感数据长期存放在会话中，以减轻服务器内存压力。
- 【关键点 1】@SessionAttribute 将 HTTP 会话中的属性值绑定到控制器方法参数，需传入属性名。
- 【关键点 2】与 @RequestAttribute 区别在于数据作用域：会话级 vs 请求级。
- 【关键点 3】若会话中无对应属性，默认抛出异常；使用 required=false 可改为可选。
- 【关键点 4】常用于获取登录用户等会话级数据，但需避免滥用会话存储。
- 【易错点 1】容易忽略 required 属性，会话属性缺失时抛出异常导致接口失败。
- 【易错点 2】与 @SessionAttributes 混淆，后者用于将模型属性自动存回会话，而 @SessionAttribute 只读取。
- 【易错点 3】过度依赖会话存储，可能引入并发修改和内存风险，应优先使用请求或缓存机制。