Session是由應用服務器維持的一個服務器端的存儲空間，用戶在連接服務器時，會由服務器生成一個唯一的SessionID,用該SessionID 爲標識符來存取服務器端的Session存儲空間。而SessionID這一數據則是保存到客戶端，用Cookie保存的，用戶提交頁面時，會將這一 SessionID提交到服務器端，來存取Session數據。這一過程，是不用開發人員干預的。所以一旦客戶端禁用Cookie，那麼Session也 會失效。
服務器也可以通過URL重寫的方式來傳遞SessionID的值，因此不是完全依賴Cookie。如果客戶端Cookie禁用，則服務器可以自動通過重寫URL的方式來保存Session的值，並且這個過程對程序員透明。
可以試一下，即使不寫Cookie，在使用request.getCookies();取出的Cookie數組的長度也是1，而這個Cookie的名字就是JSESSIONID，還有一個很長的二進制的字符串，是SessionID的值。
Cookie是客戶端的存儲空間，由瀏覽器來維持。
在一些投票之類的場合，我們往往因爲公平的原則要求每人只能投一票，在一些WEB開發中也有類似的情況，這時候我們通常會使用COOKIE來實現，例如如下的代碼：
< % cookie[]cookies = request.getCookies();
if (cookies.lenght == 0 || cookies == null)
doStuffForNewbie();
//沒有訪問過
}
else
{
doStuffForReturnVisitor(); //已經訪問過了
}
% >
這是很淺顯易懂的道理，檢測COOKIE的存在，如果存在說明已經運行過寫入COOKIE的代碼了，然而運行以上的代碼後，無論何時結果都是執行 doStuffForReturnVisitor()，通過控制面板-Internet選項-設置-察看文件卻始終看不到生成的cookie文件，奇怪， 代碼明明沒有問題，不過既然有cookie，那就顯示出來看看。
cookie[]cookies = request.getCookies();
if (cookies.lenght == 0 || cookies == null)
out.println("Has not visited this website");
}
else
{
for (int i = 0; i < cookie.length; i++)
{
out.println("cookie name:" + cookies[i].getName() + "cookie value:" +
cookie[i].getValue());
}
}
運行結果:
cookie name:JSESSIONID cookie value:KWJHUG6JJM65HS2K6
爲什麼會有cookie呢,大家都知道，http是無狀態的協議，客戶每次讀取web頁面時，服務器都打開新的會話，而且服務器也不會自動維護客 戶的上下文信息，那麼要怎麼才能實現網上商店中的購物車呢，session就是一種保存上下文信息的機制，它是針對每一個用戶的，變量的值保存在服務器 端，通過SessionID來區分不同的客戶,session是以cookie或URL重寫爲基礎的，默認使用cookie來實現，系統會創造一個名爲 JSESSIONID的輸出cookie，我們叫做session cookie,以區別persistent cookies,也就是我們通常所說的cookie,注意session cookie是存儲於瀏覽器內存中的，並不是寫到硬盤上的，這也就是我們剛纔看到的JSESSIONID，我們通常情是看不到JSESSIONID的，但 是當我們把瀏覽器的cookie禁止後，web服務器會採用URL重寫的方式傳遞Sessionid，我們就可以在地址欄看到 sessionid=KWJHUG6JJM65HS2K6之類的字符串。
明白了原理，我們就可以很容易的分辨出persistent cookies和session cookie的區別了，網上那些關於兩者安全性的討論也就一目瞭然了，session cookie針對某一次會話而言，會話結束session cookie也就隨着消失了，而persistent cookie只是存在於客戶端硬盤上的一段文本（通常是加密的），而且可能會遭到cookie欺騙以及針對cookie的跨站腳本***，自然不如 session cookie安全了。
通常session cookie是不能跨窗口使用的，當你新開了一個瀏覽器窗口進入相同頁面時，系統會賦予你一個新的sessionid，這樣我們信息共享的目的就達不到 了，此時我們可以先把sessionid保存在persistent cookie中，然後在新窗口中讀出來，就可以得到上一個窗口SessionID了，這樣通過session cookie和persistent cookie的結合我們就實現了跨窗口的session tracking（會話跟蹤）。
在一些web開發的書中，往往只是簡單的把Session和cookie作爲兩種並列的http傳送信息的方式，session cookies位於服務器端，persistent cookie位於客戶端，可是session又是以cookie爲基礎的，明白的兩者之間的聯繫和區別，我們就不難選擇合適的技術來開發web service了。
=======================================================================
一、cookie機制和session機制的區別
具體來說cookie機制採用的是在客戶端保持狀態的方案，而session機制採用的是在服務器端保持狀態的方案。
同時我們也看到，由於在服務器端保持狀態的方案在客戶端也需要保存一個標識，所以session機制可能需要藉助於cookie機制來達到保存標識的目的，但實際上還有其他選擇。
二、會話cookie和持久cookie的區別
如果不設置過期時間，則表示這個cookie生命週期爲瀏覽器會話期間，只要關閉瀏覽器窗口，cookie就消失了。這種生命期爲瀏覽會話期的cookie被稱爲會話cookie。會話cookie一般不保存在硬盤上而是保存在內存裏。
如果設置了過期時間，瀏覽器就會把cookie保存到硬盤上，關閉後再次打開瀏覽器，這些cookie依然有效直到超過設定的過期時間。
存儲在硬盤上的cookie可以在不同的瀏覽器進程間共享，比如兩個IE窗口。而對於保存在內存的cookie，不同的瀏覽器有不同的處理方式。
三、如何利用實現自動登錄
當用戶在某個網站註冊後，就會收到一個惟一用戶ID的cookie。客戶後來重新連接時，這個用戶ID會自動返回，服務器對它進行檢查，確定它是否爲註冊用戶且選擇了自動登錄，從而使用戶無需給出明確的用戶名和密碼，就可以訪問服務器上的資源。
四、如何根據用戶的愛好定製站點
網站可以使用cookie記錄用戶的意願。對於簡單的設置，網站可以直接將頁面的設置存儲在cookie中完成定製。然而對於更復雜的定製，網站只需僅將一個惟一的標識符發送給用戶，由服務器端的數據庫存儲每個標識符對應的頁面設置。
五、cookie的發送
1.創建Cookie對象
2.設置最大時效
3.將Cookie放入到HTTP響應報頭
如果你創建了一個cookie，並將他發送到瀏覽器，默認情況下它是一個會話級別的 cookie:存儲在瀏覽器的內存中，用戶退出瀏覽器之後被刪除。如果你希望瀏覽器將該cookie存儲在磁盤上，則需要使用maxAge，並給出一個以 秒爲單位的時間。將最大時效設爲0則是命令瀏覽器刪除該 cookie。
發送cookie需要使用HttpServletResponse的addCookie 方法，將cookie插入到一個 Set-Cookie HTTP請求報頭中。由於這個方法並不修改任何之前指定的Set-Cookie報頭，而是創建新的報頭，因此我們將這個方法稱爲是addCookie，而 非setCookie。同樣要記住響應報頭必須在任何文檔內容發送到客戶端之前設置。
六、cookie的讀取
1.調用request.getCookie
要獲取有瀏覽器發送來的cookie，需要調用HttpServletRequest的getCookies方法，這個調用返回Cookie對象的數組，對應由HTTP請求中Cookie報頭輸入的值。
2.對數組進行循環，調用每個cookie的getName方法，直到找到感興趣的cookie爲止
cookie與你的主機(域)相關，而非你的servlet或JSP頁面。因而，儘管你的servlet可能只發送了單個cookie，你也可能會得到許多不相關的cookie。
例如：
String cookieName = “userID”;
Cookie cookies［］ = request.getCookies();
if (cookies!=null){
for(int i=0;i<cookies.length;i++){
Cookie cookie = cookies［i］;
if (cookieName.equals(cookie.getName())){
doSomethingWith(cookie.getValue());
}
}
}
七、如何使用cookie檢測初訪者
A.調用HttpServletRequest.getCookies()獲取Cookie數組
B.在循環中檢索指定名字的cookie是否存在以及對應的值是否正確
C.如果是則退出循環並設置區別標識
D.根據區別標識判斷用戶是否爲初訪者從而進行不同的操作
八、使用cookie檢測初訪者的常見錯誤
不能僅僅因爲cookie數組中不存在在特定的數據項就認爲用戶是個初訪者。如果cookie數組爲null，客戶可能是一個初訪者，也可能是由於用戶將cookie刪除或禁用造成的結果。
但是，如果數組非null,也不過是顯示客戶曾經到過你的網站或域，並不能說明他們曾經 訪問過你的servlet。其它servlet、JSP頁面以及非Java Web應用都可以設置cookie，依據路徑的設置，其中的任何cookie都有可能返回給用戶的瀏覽器。
正確的做法是判斷cookie數組是否爲空且是否存在指定的Cookie對象且值正確。
九、使用cookie屬性的注意問題
屬性是從服務器發送到瀏覽器的報頭的一部分；但它們不屬於由瀏覽器返回給服務器的報頭。
因此除了名稱和值之外，cookie屬性只適用於從服務器輸出到客戶端的cookie；服務器端來自於瀏覽器的cookie並沒有設置這些屬性。
因而不要期望通過request.getCookies得到的cookie中可以使用這 個屬性。這意味着，你不能僅僅通過設置cookie的最大時效，發出它，在隨後的輸入數組中查找適當的cookie,讀取它的值，修改它並將它存回 Cookie，從而實現不斷改變的cookie值。
十、如何使用cookie記錄各個用戶的訪問計數
1.獲取cookie數組中專門用於統計用戶訪問次數的cookie的值
2.將值轉換成int型
3.將值加1並用原來的名稱重新創建一個Cookie對象
4.重新設置最大時效
5.將新的cookie輸出
十一、session在不同環境下的不同含義
session，中文經常翻譯爲會話，其本來的含義是指有始有終的一系列動作/消息，比如打電話是從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之爲一個session。
然而當session一詞與網絡協議相關聯時，它又往往隱含了“面向連接”和/或“保持狀態”這樣兩個含義。
session在Web開發環境下的語義又有了新的擴展，它的含義是指一類用來在客戶端與服務器端之間保持狀態的解決方案。有時候Session也用來指這種解決方案的存儲結構。
十二、session的機制
session機制是一種服務器端的機制，服務器使用一種類似於散列表的結構(也可能就是使用散列表)來保存信息。
但程序需要爲某個客戶端的請求創建一個session的時候，服務器首先檢查這個客戶端 的請求裏是否包含了一個session標識－稱爲session id,如果已經包含一個session id則說明以前已經爲此客戶創建過session，服務器就按照session id把這個session檢索出來使用(如果檢索不到，可能會新建一個，這種情況可能出現在服務端已經刪除了該用戶對應的session對象，但用戶人爲 地在請求的URL後面附加上一個JSESSION的參數)。
如果客戶請求不包含session id，則爲此客戶創建一個session並且生成一個與此session相關聯的session id，這個session id將在本次響應中返回給客戶端保存。
十三、保存session id的幾種方式
A．保存session id的方式可以採用cookie，這樣在交互過程中瀏覽器可以自動的按照規則把這個標識發送給服務器。
B．由於cookie可以被人爲的禁止，必須有其它的機制以便在cookie被禁止時仍然能 夠把session id傳遞迴服務器，經常採用的一種技術叫做URL重寫，就是把session id附加在URL路徑的後面，附加的方式也有兩種，一種是作爲URL路徑的附加信息，另一種是作爲查詢字符串附加在URL後面。網絡在整個交互過程中始終 保持狀態，就必須在每個客戶端可能請求的路徑後面都包含這個session id。
C．另一種技術叫做表單隱藏字段。就是服務器會自動修改表單，添加一個隱藏字段，以便在表單提交時能夠把session id傳遞迴服務器。
十四、session什麼時候被創建
一個常見的錯誤是以爲session在有客戶端訪問時就被創建，然而事實是直到某server端程序(如Servlet)調用HttpServletRequest.getSession(true)這樣的語句時纔會被創建。
十五、session何時被刪除
session在下列情況下被刪除：
A．程序調用HttpSession.invalidate()
B．距離上一次收到客戶端發送的session id時間間隔超過了session的最大有效時間
C．服務器進程被停止
再次注意關閉瀏覽器只會使存儲在客戶端瀏覽器內存中的session cookie失效，不會使服務器端的session對象失效。
十六、URL重寫有什麼缺點
對所有的URL使用URL重寫，包括超鏈接，form的action，和重定向的URL。每個引用你的站點的URL，以及那些返回給用戶的URL(即使通過間接手段，比如服務器重定向中的Location字段)都要添加額外的信息。
這意味着在你的站點上不能有任何靜態的HTML頁面(至少靜態頁面中不能有任何鏈接到站 點動態頁面的鏈接)。因此，每個頁面都必須使用servlet或 JSP動態生成。即使所有的頁面都動態生成，如果用戶離開了會話並通過書籤或鏈接再次回來，會話的信息都會丟失，因爲存儲下來的鏈接含有錯誤的標識信息－ 該URL後面的SESSION ID已經過期了。
十七、使用隱藏的表單域有什麼缺點
僅當每個頁面都是有表單提交而動態生成時，才能使用這種方法。單擊常規的<A HREF..>超文本鏈接並不產生表單提交，因此隱藏的表單域不能支持通常的會話跟蹤，只能用於一系列特定的操作中，比如在線商店的結賬過程
十八、會話跟蹤的基本步驟
1．訪問與當前請求相關的會話對象
2．查找與會話相關的信息
3．存儲會話信息
4．廢棄會話數據
十九、getSession()/getSession(true)、getSession(false)的區別
getSession()/getSession(true)：當session存在時返回該session，否則新建一個session並返回該對象
getSession(false)：當session存在時返回該session，否則不會新建session，返回null
二十、如何將信息與會話關聯起來
setAttribute會替換任何之前設定的值；如果想要在不提供任何代替的情況下移除某個值，則應使用removeAttribute。這個方法會觸發所有實現了HttpSessionBindingListener接口的值的valueUnbound方法。
二十一、會話屬性的類型有什麼限制嗎
通常會話屬性的類型只要是Object就可以了。除了null或基本類型，如int,double,boolean。
如果要使用基本類型的值作爲屬性，必須將其轉換爲相應的封裝類對象
二十二、如何廢棄會話數據
A．只移除自己編寫的servlet創建的數據：
調用removeAttribute(“key”)將指定鍵關聯的值廢棄
B．刪除整個會話(在當前Web應用中)：
調用invalidate，將整個會話廢棄掉。這樣做會丟失該用戶的所有會話數據，而非僅僅由我們servlet或JSP頁面創建的會話數據
C．將用戶從系統中註銷並刪除所有屬於他(或她)的會話
調用logOut，將客戶從Web服務器中註銷，同時廢棄所有與該用戶相關聯的會話(每個Web應用至多一個)。這個操作有可能影響到服務器上多個不同的Web應用。
二十三、使用isNew來判斷用戶是否爲新舊用戶的錯誤做法
public boolean isNew()方法如果會話尚未和客戶程序(瀏覽器)發生任何聯繫，則這個方法返回true，這一般是因爲會話是新建的，不是由輸入的客戶請求所引起的。
但如果isNew返回false，只不過是說明他之前曾經訪問該Web應用，並不代表他們曾訪問過我們的servlet或JSP頁面。
因爲session是與用戶相關的，在用戶之前訪問的每一個頁面都有可能創建了會話。因此isNew爲false只能說用戶之前訪問過該Web應用，session可以是當前頁面創建，也可能是由用戶之前訪問過的頁面創建的。
正確的做法是判斷某個session中是否存在某個特定的key且其value是否正確
二十四、Cookie的過期和Session的超時有什麼區別
會話的超時由服務器來維護，它不同於Cookie的失效日期。首先，會話一般基於駐留內 存的cookie不是持續性的cookie，因而也就沒有截至日期。即使截取到JSESSIONID cookie，併爲它設定一個失效日期發送出去。瀏覽器會話和服務器會話也會截然不同。
二十五、session cookie和session對象的生命週期是一樣的嗎
當用戶關閉了瀏覽器雖然session cookie已經消失，但session對象仍然保存在服務器端
二十六、是否只要關閉瀏覽器，session就消失了
程序一般都是在用戶做log off的時候發個指令去刪除session，然而瀏覽器從來不會主動在關閉之前通知服務器它將要被關閉，因此服務器根本不會有機會知道瀏覽器已經關閉。服務器會一直保留這個會話對象直到它處於非活動狀態超過設定的間隔爲止。
之所以會有這種錯誤的認識，是因爲大部分session機制都使用會話cookie來保存session id，而關閉瀏覽器後這個session id就消失了，再次連接到服務器時也就無法找到原來的session。
如果服務器設置的cookie被保存到硬盤上，或者使用某種手段改寫瀏覽器發出的HTTP請求報頭，把原來的session id發送到服務器，則再次打開瀏覽器仍然能夠找到原來的session。
恰恰是由於關閉瀏覽器不會導致session被刪除，迫使服務器爲session設置了一個失效時間，當距離客戶上一次使用session的時間超過了這個失效時間時，服務器就可以認爲客戶端已經停止了活動，纔會把session刪除以節省存儲空間。
由此我們可以得出如下結論：
關閉瀏覽器，只會是瀏覽器端內存裏的session cookie消失，但不會使保存在服務器端的session對象消失，同樣也不會使已經保存到硬盤上的持久化cookie消失。
二十七、打開兩個瀏覽器窗口訪問應用程序會使用同一個session還是不同的session
通常session cookie是不能跨窗口使用的，當你新開了一個瀏覽器窗口進入相同頁面時，系統會賦予你一個新的session id，這樣我們信息共享的目的就達不到了。
此時我們可以先把session id保存在persistent cookie中(通過設置session的最大有效時間)，然後在新窗口中讀出來，就可以得到上一個窗口的session id了，這樣通過session cookie和persistent cookie的結合我們就可以實現了跨窗口的會話跟蹤。
二十八、如何使用會話顯示每個客戶的訪問次數
由於客戶的訪問次數是一個整型的變量，但session的屬性類型中不能使用int，double，boolean等基本類型的變量，所以我們要用到這些基本類型的封裝類型對象作爲session對象中屬性的值
但像Integer是一種不可修改(Immutable)的數據結構：構建後就不能更改。這意味着每個請求都必須創建新的Integer對象，之後使用setAttribute來代替之前存在的老的屬性的值。例如：
HttpSession session = request.getSession();
SomeImmutalbeClass value = (SomeImmutableClass)session.getAttribute(“SomeIdentifier”);
if (value= =null){
value = new SomeImmutableClass(…); // 新創建一個不可更改對象
}else{
value = new SomeImmutableClass(calculatedFrom(value)); // 對value重新計算後創建新的對象
}
session.setAttribute(“someIdentifier”,value); // 使用新創建的對象覆蓋原來的老的對象
二十九、如何使用會話累計用戶的數據
使用可變的數據結構，比如數組、List、Map或含有可寫字段的應用程序專有的數據結構。通過這種方式，除非首次分配對象，否則不需要調用setAttribute。例如
HttpSession session = request.getSession();
SomeMutableClass value = (SomeMutableClass)session.getAttribute(“someIdentifier”);
if(value = = null){
value = new SomeMutableClass(…);
session.setAttribute(“someIdentifier”,value);
}else{
value.updateInternalAttribute(…); // 如果已經存在該對象則更新其屬性而不需重新設置屬性
}
三十、不可更改對象和可更改對象在會話數據更新時的不同處理
不可更改對象因爲一旦創建之後就不能更改，所以每次要修改會話中屬性的值的時候，都需要 調用 setAttribute(“someIdentifier”,newValue)來代替原有的屬性的值，否則屬性的值不會被更新可更改對象因爲其自身一 般提供了修改自身屬性的方法，所以每次要修改會話中屬性的值的時候，只要調用該可更改對象的相關修改自身屬性的方法就可以了。這意味着我們就不需要調用 setAttribute方法了。