Web开发中的Session详解及原理分析_web开发中session是什么时候生成的,他与浏览器之间是怎样实现会话保持的(1)

2401_84263434

于 2024-05-13 06:19:40 发布

阅读量561

点赞数 19

分类专栏：程序员文章标签：网络安全学习面试

本文链接：https://blog.csdn.net/2401_84263434/article/details/138780730

版权

程序员专栏收录该内容

203 篇文章 0 订阅

订阅专栏

一、网安学习成长路线图

网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。
在这里插入图片描述

二、网安视频合集

观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。
在这里插入图片描述

三、精品网安学习书籍

当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。
在这里插入图片描述

四、网络安全源码合集+工具包

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。
在这里插入图片描述

五、网络安全面试题

最后就是大家最关心的网络安全面试题板块
在这里插入图片描述

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

3. HttpSession生命周期：

3.1 什么时候创建HttpSession

(1). 对于JSP而言:
　是否浏览器访问服务端的任何一个JSP，服务器都会立即创建一个HttpSession对象呢？不一定。
　　①.若当前的JSP或Servlet，是客户端访问当前WEB应用的第一个资源，且JSP的page指令中的session属性为false时，服务器是不会为JSP创建HttpSession对象的；
　　②.若当前JSP不是客户端访问的WEB应用的第一个资源，且其他页面已经创建了一个HttpSession对象，则服务器也不会为当前JSP创建一个新的HttpSession对象，而是会把和当前会话关联的那个HttpSession对象返回给当前的JSP页面。
(2). 对于Servlet而言:
　若Servlet是客户端访问的第一个WEB应用资源，只有调用了request.getSession()或request.getSession(true) 才会创建HttpSession对象。

3.2 什么时候销毁HttpSession对象：

(1). 直接调用HttpSession的invalidate()方法，会使HttpSession失效；
(2). 服务器卸载了当前Web应用;
(3). 超出了HttpSession的过期时间。

#代码中设置session过期时间的方式 
session.setMaxInactiveInterval(5); 
#web.xml中设置session过期时间的方式 
<session-config> 
   <session-timeout>30</session-timeout> 
</session-config>

注：
由于会有越来越多的用户访问服务器，因此Session也会越来越多。为了防止内存溢出，服务器会把长时间内没有活跃的Session从内存中删除，而这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了。

4. Session的特点

Session数据保存在服务器端；
Session中可以保存任意类型的数据；
Session默认的生命周期是30分钟，可以手动设置更长或更短的时间。

二. Cookie机制

1. 什么是Cookie

Cookie翻译成中文是甜饼的意思，其实就是一个小型的文本文件，用来保存一些简单的信息(浏览器对Cookie的内存大小是有限制的)。Cookie由服务器端生成，并且会发送给 User-Agent (一般是浏览器)，服务器一般会告诉浏览器设置一下Cookie，然后浏览器会自动将该 Cookie 以
key/value
的格式保存到浏览器的某个目录下；等到下次请求同一网站时，浏览器会自动通过请求头发送该Cookie给服务器，前提是浏览器设置了启用Cookie功能。

2. 为什么要有Cookie

Web应用程序是使用HTTP协议来传输数据的，而HTTP协议是无状态的协议，也就是说一旦数据交换完毕，客户端与服务器端的连接就会关闭，等再次交换数据就需要建立新的连接，这就意味着服务器无法从连接上跟踪会话。比如我们登陆一个网站的时候，会提醒你要不要记住账户和密码，这样下次来你就不用再次输入账号密码了，这就是Cookie的作用。当我们再次访问的时候，服务器会直接根据我们的Cookie来获取上一次取过的东西。

3. Cookie 的特点

3.1 Cookie 的过期时间

我们每次发送请求的时候，都会根据domain来设置相应的Cookie。Cookie有永久的，也有临时的，每个浏览器都有自己的Cookie，我们可以通过设置expires、max-age来设置保存日期，如果不设置的话默认是临时存储，也就是说关闭浏览器后Cookie就会消失。

document.cookie = 'expires=时间/max-age=秒'

3.2 Cookie要满足同源策略

虽然网站news.baidu.com与www.baidu.com同属于Baidu，但是域名却不一样，也就是说这两者之间是不能互相操作彼此Cookie的。只有域名和path都必须一样，才能相互访问彼此的Cooki。但是需要注意不同浏览器对path访问规定是不一样的，对于chrome，path必须为当前目录，设置为其他目录无效，当前页面只能访问当前目录的Cookie`。

3.3 Cookie内存大小受限制

Cookie有个数和大小的限制，大小一般是4k，但是不同的浏览器，具体的Cookie大小也是不同的。

Firefox和Safari允许Cookie多达4097个字节，包括名(name)、值(value)和等号;
Opera允许Cookie多达4096个字节，包括名(name)、值(value)和等号;
Internet Explorer允许Cookie多达4095个字节，包括名(name)、值(value)和等号。

3.4 Cookie的安全性

Cookie是保存在浏览器本地的，是可以被修改的，所以敏感的数据不要放在Cookie里。

三. Session共享

1. Session存在的问题

HttpSession是通过Servlet容器创建和管理的，像Tomcat/Jetty都是保存在内存中的。但是如果我们将Web应用横向扩展成分布式的集群，然后利用LVS或Nginx进行负载均衡，那么对来自同一用户的Http请求，将有可能被负载分发到两个不同的服务器实例中去。那么如何保证不同实例间的Session共享，就成为一个不得不解决的问题。

最简单的解决方法就是把Session数据保存到内存以外的一个统一的地方，例如Memcached/Redis中。那么问题又来了，如何替换掉Servlet容器，来创建和管理HttpSession呢？

2. Session共享的实现方案

利用Servlet容器提供的插件功能，自定义HttpSession的创建和管理策略，并通过配置的方式替换掉默认的策略。不过这种方式有个缺点，就是需要耦合Tomcat/Jetty等Servlet容器的代码。这方面其实早就有开源项目了，例如memcached-session-manager，以及tomcat-redis-session-manager，不过这暂时都只支持Tomcat6/Tomcat7。
配置Nginx的负载均衡算法为ip_hash，这样每个请求按访问IP的hash结果分配，这样来自同一个IP的访客就会固定访问一个后端服务器，有效解决了动态网页存在的Session共享问题。
使用Shiro管理Session，可以用Redis来实现Shiro 的SessionDao接口，这样Session便归Redis来保存了。
设计一个Filter，利用HttpServletRequestWrapper，实现自己的 getSession()方法，来接管创建和管理Session数据的工作。Spring-Session就是通过这样的思路实现的。
Spring-Session结合Redis实现Session共享。

四. Spring Session

1. 传统Session的问题

我们都知道Session是由Web容器管理的，即一个Session只保存在一台机器上，适合于单体应用。但随着架构的演练，不断的向微服务分布式集群演进，此时传统的Session就不能工作了。如：现在有3台Web服务器，客户端通过Nginx负载均衡技术，来负载到某一台服务器上，用户此次的数据就保存到了这台服务器的Web容器中了。等用户下次请求时，如果被负载到其它机器上，那么就拿不到之前保存的数据了，这时候就需要整个服务器集群共享同一个Session。

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：
在这里插入图片描述

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

2401_84263434

关注

19
点赞
踩
23

收藏

觉得还不错? 一键收藏
0
评论
Web开发中的Session详解及原理分析_web开发中session是什么时候生成的,他与浏览器之间是怎样实现会话保持的(1)

Cookie翻译成中文是甜饼的意思，其实就是一个小型的文本文件，用来保存一些简单的信息(浏览器对Cookie的内存大小是有限制的)。Cookie由服务器端生成，并且会发送给 User-Agent (一般是浏览器)，服务器一般会告诉浏览器设置一下Cookie，然后浏览器会自动将该 Cookie 以。
复制链接

扫一扫