Session及Cookie的區別和使用

什麼叫一次會話？

用戶開一個瀏覽器，點擊多個超鏈接，訪問服務器多個web資源，然後關閉瀏覽器，整個過程稱之爲一次會話，當用戶關閉瀏覽器，會話就結束了，此時cookie就會失效。

保存會話數據的兩種技術

1. Cookie

Cookie是客戶端技術，程序把每個用戶的數據以cookie的形式寫到用戶的瀏覽器中，當用戶用瀏覽器再去訪問服務器的時候就會帶着cookie裏面的數據，這樣服務器就能處理不同用戶的數據了。

2. Session

Session是服務端技術，服務端可以給每個用戶的瀏覽器創建一個獨享的session對象，服務器要用時就從用戶各自的session對象中取出數據來爲用戶服務。

Java操作Cookie的API

Java中的javax.servlet.http.Cookie類用於創建一個Cookie

方法	用法	描述
Cookie(String name,String value)	Cookie cookie=new Cookie();	實例化Cookie對象，傳入cooke名稱和cookie的值
public String getName()	String name=cookie.getName();	取得Cookie的名字
public String getValue()	String value=cookie.getValue();	取得Cookie的值
public void setValue(String newValue)	cookie.setValue("");	設置Cookie的值
public void setMaxAge(int expiry)	cookie.setMaxAge(60);	設置Cookie的最大保存時間，即cookie的有效期,以秒爲單位
public int getMaxAge()	簡單不再演示了	獲取Cookies的有效期
public void setPath(String uri)	簡單不再演示了	設置cookie的有效路徑
public String getPath()	簡單不再演示了	獲取cookie的有效路徑

setMaxAge注意：

當服務器給瀏覽器回送一個cookie時，如果在服務器端沒有調用setMaxAge方法設置cookie的有效期，那麼cookie的有效期只在一次會話過程中有效，用戶開一個瀏覽器，點擊多個超鏈接，訪問服務器多個web資源，然後關閉瀏覽器，整個過程稱之爲一次會話，當用戶關閉瀏覽器，會話就結束了，此時cookie就會失效，如果在服務器端使用setMaxAge方法設置了cookie的有效期，比如設置了30分鐘，那麼當服務器把cookie發送給瀏覽器時，此時cookie就會在客戶端的硬盤上存儲30分鐘，在30分鐘內，即使瀏覽器關了，cookie依然存在，在30分鐘內，打開瀏覽器訪問服務器時，瀏覽器都會把cookie一起帶上，這樣就可以在服務器端獲取到客戶端瀏覽器傳遞過來的cookie裏面的信息了，這就是cookie設置maxAge和不設置maxAge的區別，不設置maxAge，那麼cookie就只在一次會話中有效，一旦用戶關閉了瀏覽器，那麼cookie就沒有了，那麼瀏覽器是怎麼做到這一點的呢，我們啓動一個瀏覽器，就相當於啓動一個應用程序，而服務器回送的cookie首先是存在瀏覽器的緩存中的，當瀏覽器關閉時，瀏覽器的緩存自然就沒有了，所以存儲在緩存中的cookie自然就被清掉了，而如果設置了cookie的有效期，那麼瀏覽器在關閉時，就會把緩存中的cookie寫到硬盤上存儲起來，這樣cookie就能夠一直存在了。

setPath注意：

設置cookie的有效路徑，比如把cookie的有效路徑設置爲"/xdp"，那麼瀏覽器訪問"xdp"目錄下的web資源時，都會帶上cookie，再比如把cookie的有效路徑設置爲"/xdp/gacl"，那麼瀏覽器只有在訪問"xdp"目錄下的"gacl"這個目錄裏面的web資源時纔會帶上cookie一起訪問，而當訪問"xdp"目錄下的web資源時，瀏覽器是不帶cookie的。

注意：response接口也中定義了一個addCookie方法，它用於在其響應頭中增加一個相應的Set-Cookie頭字段。 同樣，request接口中也定義了一個getCookies方法，它用於獲取客戶端提交的Cookie。

Cookie注意細節

1. 一個Cookie只能標識一種信息，它至少含有一個標識該信息的名稱（NAME）和設置值（VALUE）。
2. 一個WEB站點可以給一個WEB瀏覽器發送多個Cookie，一個WEB瀏覽器也可以存儲多個WEB站點提供的Cookie。
3. 瀏覽器一般只允許存放300個Cookie，每個站點最多存放20個Cookie，每個Cookie的大小限制爲4KB。
4. 如果創建了一個cookie，並將他發送到瀏覽器，默認情況下它是一個會話級別的cookie（即存儲在瀏覽器的內存中），用戶退出瀏覽器之後即被刪除。若希望瀏覽器將該cookie存儲在磁盤上，則需要使用maxAge，並給出一個以秒爲單位的時間。將最大時效設爲0則是命令瀏覽器刪除該cookie。

刪除Cookie

  import java.io.IOException;
  import javax.servlet.ServletException;
  import javax.servlet.http.Cookie;
  import javax.servlet.http.HttpServlet;
  import javax.servlet.http.HttpServletRequest;
  import javax.servlet.http.HttpServletResponse;
 
 /**
  * @author cdn
  * 刪除cookie
  */
 public class CookieDemo02 extends HttpServlet {
 
     public void doGet(HttpServletRequest request, HttpServletResponse response)
             throws ServletException, IOException {
         //創建一個名字爲lastAccessTime的cookie
         Cookie cookie = new Cookie("lastAccessTime", System.currentTimeMillis()+"");
         //將cookie的有效期設置爲0，命令瀏覽器刪除該cookie
         cookie.setMaxAge(0);
         response.addCookie(cookie);
     }
 
     public void doPost(HttpServletRequest request, HttpServletResponse response)
             throws ServletException, IOException {
         doGet(request, response);
 }

Session和Cookie的區別

• Session存在服務器中，Cookie存在客戶端瀏覽器中
• Session對象由服務器創建，在服務端可以調用request對象的getSession方法來得到session對象
• Cookie是把用戶的數據寫到用戶的瀏覽器

Session的實現原理

服務器創建session出來後，會把session的id號，以cookie的形式回寫給客戶機，這樣，只要客戶機的瀏覽器不關，再去訪問服務器時，都會帶着session的id號去，服務器發現客戶機瀏覽器帶session id過來了，就會使用內存中與之對應的session爲之服務。客戶端第一次訪問的時候服務器會創建一個新的session，並且把session的id以cookie的形式發送到客戶端瀏覽器。

瀏覽器禁用cookie後的session處理

一、URL重寫

//用於對sendRedirect方法後的URL進行重寫
response.encodeRedirectURL(java.lang.String url)；

//用於對錶單action和超鏈接的url地址進行重寫
response.encodeURL(java.lang.String url)；

所以，當瀏覽器禁用了cookie後，就可以用URL重寫這種解決方案解決Session數據共享問題。而且response. encodeRedirectURL(java.lang.String url) 和response. encodeURL(java.lang.String url)是兩個非常智能的方法，當檢測到瀏覽器沒有禁用cookie時，那麼就不進行URL重寫了。

session對象的銷燬時機

session對象默認30分鐘沒有使用，則服務器會自動銷燬session，在web.xml文件中可以手工配置session的失效時間，例：

<!-- 設置Session的有效時間爲15分鐘:以分鐘爲單位-->
<session-config>
         <session-timeout>15</session-timeout> 
</session-config>

當需要在程序中手動設置Session失效時，可以手工調用session.invalidate方法，摧毀session，如下：

HttpSession session = request.getSession();
//手工調用session.invalidate方法，摧毀session
session.invalidate();

參考文章：

https://www.cnblogs.com/xdp-gacl/p/3803033.html

https://www.cnblogs.com/xdp-gacl/p/3855702.html