11、Cookie和Session

会话(Session)跟踪是Web程序中常用的技术,用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie与Session。Cookie通过在客户端记录信息确定用户身份,Session通过在服务器端记录信息确定用户身份。

一、Cookie

1.1 什么是 Cookie?

1、Cookie 翻译过来是饼干的意思。
2、Cookie 是服务器通知客户端保存键值对的一种技术。
3、客户端有了 Cookie 后,每次请求都发送给服务器。
4、每个 Cookie 的大小不能超过 4kb

Cookie实际上是一小段的文本信息。客户端请求服务器,如果服务器需要记录该用户状态,就使用response向客 户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时,浏览器把请求的网址连同该Cookie一同提交给服务 器。服务器检查该Cookie,以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

1.2 Cookie的创建

在这里插入图片描述

Cookie的处理分为

服务器向客户端发送cookie
浏览器将cookie保存
之后每次http请求浏览器都会将cookie发送给服务器端

发送cookie

  • 服务器端像客户端发送Cookie是通过HTTP响应报文实现的,在Set-Cookie中设置需要像客户端发送的cookie,cookie格式如下:
  • Set-Cookie: "name=value;domain=.domain.com;path=/;expires=Sat, 11 Jun 2016 11:29:42 GMT;HttpOnly;secure"其中name=value是必选项,其它都是可选项。Cookie的主要构成如下:
  • name:一个唯一确定的cookie名称。通常来讲cookie的名称是不区分大小写的。
  • value:存储在cookie中的字符串值。最好为cookie的name和value进行url编码
  • domain:cookie对于哪个域是有效的。所有向该域发送的请求中都会包含这个cookie信息。这个值可以包含子域(如:yq.aliyun.com),也可以不包含它(如:.aliyun.com,则对于aliyun.com的所有子域都有效).
  • path: 表示这个cookie影响到的路径,浏览器跟会根据这项配置,像指定域中匹配的路径发送cookie。
  • expires:失效时间,表示cookie何时应该被删除的时间戳(也就是,何时应该停止向服务器发送这个cookie)。如果不设置这个时间戳,浏览器会在页面关闭时即将删除所有cookie;不过也可以自己设置删除时间。这个值是GMT时间格式,如果客户端和服务器端时间不一致,使用expires就会存在偏差。
  • max-age: 与expires作用相同,用来告诉浏览器此cookie多久过期(单位是秒),而不是一个固定的时间点。正常情况下,max-age的优先级高于expires。
  • HttpOnly: 告知浏览器不允许通过脚本document.cookie去更改这个值,同样这个值在document.cookie中也不可见。但在http请求张仍然会携带这个cookie。注意这个值虽然在脚本中不可获取,但仍然在浏览器安装目录中以文件形式存在。这项设置通常在服务器端设置。
  • secure: 安全标志,指定后,只有在使用SSL链接时候才能发送到服务器,如果是http链接则不会传递该信息。就算设置了secure 属性也并不代表他人不能看到你机器本地保存的 cookie 信息,所以不要把重要信息放cookie就对了服务器端设置
protected void createCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //1 创建Cookie对象
    Cookie cookie = new Cookie("key1","value1");
    //2 通知客户端保存Cookie
    resp.addCookie(cookie);
    //1 创建Cookie对象
    Cookie cookie1 = new Cookie("key2","value2");
    //2 通知客户端保存Cookie
    resp.addCookie(cookie1);
    resp.getWriter().write("Cookie创建成功");
}

1.2 服务器解析cookie

服务器获取客户端的 Cookie 只需要一行代码:req.getCookies():Cookie[]

在这里插入图片描述

Cookie的工具类:

public class CookieUtils {
    /**
     * 找到指定名称的Cookie对象
     * @param name
     * @param cookies
     * @return
     */
    public static Cookie findCookie(String name,Cookie[] cookies){
        if(name == null || cookies == null || cookies.length == 0){
            return null;
        }
        for (Cookie cookie : cookies) {
            if(name.equals(cookie.getName())){
                return cookie;
            }
        }
        return null;
    }
}

Servlet 程序中的代码:

    protected void getCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie[] cookies = req.getCookies();
        for(Cookie cookie : cookies){
            // getName 方法返回 Cookie 的 key (名)
            // getValue 方法返回 Cookie 的 value 值
            resp.getWriter().write("cookie["+cookie.getName()+","+cookie.getValue()+"]<br/>");
        }

        Cookie iWantCookie = CookieUtils.findCookie("key2",req.getCookies());
        // 如果不等于 null ,说明赋过值,也就是找到了需要的 Cookie
        if(iWantCookie != null){
            resp.getWriter().write("找到需要的cookie");
        }
    }

1.3 Cookie值的修改

  1. 方法一:

     1、先创建一个要修改的同名(指的就是key)的Cookie 对象
     2、在构造器,同时赋于新的 Cookie 值。
     3、调用response.addCookie(Cookie);
    
    protected void updateCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //        方案一:
    //        1、先创建一个要修改的同名的Cookie对象
    //        2、在构造器,同时赋于新的Cookie值。
        Cookie cookie = new Cookie("key1","newValue1");
    //        3、调用response.addCookie( Cookie ); 通知 客户端 保存修改
        resp.addCookie(cookie);
        resp.getWriter().write("key1的Cookie已经修改好");
        
    }
    
  2. 方法二:

     1、先查找到需要修改的 Cookie 对象
     2、调用 setValue()方法赋于新的 Cookie 值。
     3、调用 response.addCookie()通知客户端保存修改
    
    protected void updateCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //方案二:
        //1、先查找到需要修改的Cookie对象
        Cookie cookie = CookieUtils.findCookie("key2",req.getCookies());
        if(cookie != null){
            System.out.println("进行了修改操作");
            //2、调用setValue()方法赋于新的Cookie值。
            cookie.setValue("newValue2");
            //3、调用response.addCookie()通知客户端保存修改
            resp.addCookie(cookie);
        }
        resp.getWriter().write("key2的Cookie已经修改好");
    }
    
    public class CookieUtils {
        public static Cookie findCookie(String name,Cookie[] cookies){
            if(name == null || cookies == null || cookies.length == 0){
                return null;
            }
            for (Cookie cookie : cookies) {
                if(name.equals(cookie.getName())){
                    return cookie;
                }
            }
            return null;
        }
    }
    

1.4 Cookie生命控制

  • Cookie 的生命控制指的是如何管理 Cookie 什么时候被销毁(删除)
  • Cookie可以保持登录信息到用户下次与服务器的会话,换句话说,下次访问同一网站时,用户会发现不必输入用户名和密码就已经登录了(当然,不排除用户手工删除Cookie)。而还有一些Cookie在用户退出会话的时候就被删除了,这样可以有效保护个人隐私。
  • Cookie在生成时就会被指定一个Expire值,这就是Cookie的生存周期,在这个周期内Cookie有效,超出周期Cookie就会被清除。有些页面将Cookie的生存周期设置为“0”或负值,这样在关闭浏览器时,就马上清除Cookie,不会记录用户信息,更加安全。

在这里插入图片描述

Cookie的maxAge决定着Cookie的有效期,单位为秒(Second)。Cookie中通过getMaxAge()方法与setMaxAge(int maxAge)方法来读写maxAge属性。

setMaxAge(int maxAge)
	正数,表示在指定的秒数后过期。无论客户关闭了浏览器还是电脑,只要还在maxAge秒之前,登录网站时该Cookie仍然有效
	负数,表示浏览器一关,Cookie 就会被删除(默认值是-1)
	零,表示马上删除 Cookie
    /**
     * 设置存活 1 个小时的 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void life3600(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("life3600","life3600");
        cookie.setMaxAge(60*60);//设置cookie一小时之后被删除,无效
        resp.addCookie(cookie);
        resp.getWriter().write("已经创建一个存活一小时的Cookie");
    }

    /**
     * 马上删除一个 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void deleteNow(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //先找到要删除的Cookie对象
        Cookie cookie = CookieUtils.findCookie("key2",req.getCookies());
        if(cookie != null){
            //调用setMaxAge(0);
            cookie.setMaxAge(0);//表示马上删除,不予要等待浏览器关闭
            //调用response.addCookie(cookie);
            resp.addCookie(cookie);
            resp.getWriter().write("key2的Cookie已经被删除");
        }
    }

    /**
     * 默认的会话级别的 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void defaultLife(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("default","defaultLife");
        cookie.setMaxAge(-1);//设置存活时间
        resp.addCookie(cookie);
    }

1.5 Cookie有效路径Path的设置

Cookie 的 path 属性可以有效的过滤哪些 Cookie 可以发送给服务器。哪些不发。

path 属性是通过请求的地址来进行有效的过滤。

CookieA path=/工程路径
CookieB path=/工程路径/abc
请求地址如下:
	http://ip:port/工程路径/a.html
	CookieA 发送
	CookieB 不发送
	
	http://ip:port/工程路径/abc/a.html
	CookieA 发送
	CookieB 发送

cookie可以设置不同的域与路径,所以对于同一个name value,在不同域不同路径下是可以重复的,浏览器会按照与当前请求url或页面地址最佳匹配的顺序来排定先后顺序

    protected void testPath(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("path1","path1");
        //getContextPath() ===>>> 得到工程路径
        cookie.setPath(req.getContextPath()+"/abc");
        resp.addCookie(cookie);
        resp.getWriter().write("创建了一个带有Path路径的Cookie");
    }

二、Session会话

2.1 什么是Session会话?

1、Session 就一个接口(HttpSession)。
2、Session 就是会话。它是用来维护一个客户端和服务器之间关联的一种技术。
3、每个客户端都有自己的一个 Session 会话。
4、Session 会话中,我们经常用来保存用户登录之后的信息。

Session是另一种记录客户状态的机制,不同的是Cookie保存在客户端浏览器中,而Session保存在服务器上。客户端浏览器访问服务器的时候,服务器把客户端信息以某种形式记录在服务器上。这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

2.2 如何创建Session和获取(id号, 是否为新)

如何创建和获取 Session。它们的 API 是一样的。

request.getSession()

第一次调用是:创建 Session 会话
之后调用都是:获取前面创建好的 Session 会话对象。

isNew(); 判断到底是不是刚创建出来的(新的)

true 表示刚创建
false 表示获取之前创建

每个会话都有一个身份证号。也就是 ID 值。而且这个 ID 是唯一的。

getId() 得到 Session 的会话 id 值。

protected void createOrGetSession(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //创建和获取Session会话对象
    //第一次调用是:创建 Session 会话
    //之后调用都是:获取前面创建好的 Session 会话对象。
    HttpSession session = req.getSession();
    //判断 当前session会话,是否是新创建出来的
    boolean isNew = session.isNew();
    //获取session会话的唯一标识id
    String id = session.getId();

    resp.getWriter().write("得到的Session,它的id是:" + id + " <br /> ");
    resp.getWriter().write("这个Session是否是新创建的:" + isNew + " <br /> ");
}

当多个客户端执行程序时,服务器会保存多个客户端的Session。获取Session的时候也不需要声明获取谁的Session。Session机制决定了当前客户只会获取到自己的Session,而不会获取到别人的Session。各客户的Session也彼此独立,互不可见。

2.3 Session 域数据的存取

Session也是一种key-value的属性对,通过getAttribute(Stringkey)和setAttribute(String key,Object value)方法读写客户状态信息

/**
 * 在session中保存数据
 * @param req
 * @param resp
 * @throws ServletException
 * @throws IOException
 */
protected void setAttribute(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    req.getSession().setAttribute("key1","value1");
    resp.getWriter().write("已经往session中保存了数据");
}


/**
 * 获取session与中的数据
 * @param req
 * @param resp
 * @throws ServletException
 * @throws IOException
 */
protected void getAttribute(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    Object attribute = req.getSession().getAttribute("key1");
    resp.getWriter().write("从Session中获取出key1的数据是:" + attribute);
}

2.4 Session生命周期控制

  • public void setMaxInactiveInterval(int interval) 设置 Session 的超时时间(以秒为单位),超过指定的时长,Session就会被销毁。

      值为正数的时候,设定 Session 的超时时长。
      负数表示永不超时(极少使用)
    
  • public int getMaxInactiveInterval()获取 Session 的超时时间

  • public void invalidate() 让当前 Session 会话马上超时无效。

2.4.1 Session 默认的超时时长

Session默认的超时时间长为30分钟。
因为在Tomcat服务器的配置文件web.xml中默认有以下的配置,它就表示配置了当前Tomcat服务器下所有的Session超时配置默认时长为:30 分钟。

2.4.2 修改个别Session的超时时长

如果你想只修改个别 Session 的超时时长。就可以使用setMaxInactiveInterval(int interval)来进行单独的设置。

  • session.setMaxInactiveInterval(int interval)单独设置超时时长。

设置session,3秒后超时代码:

protected void life3(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //先获取Session对象
    HttpSession session = req.getSession();
    //设置当前session3秒后超时
    session.setMaxInactiveInterval(3);
    resp.getWriter().write("当前Session已经设置为3秒后超时");
}
  • Session 超时的概念介绍:

在这里插入图片描述

2.4.3 设置Session马上被超时

  • invalidate()设置Session马上超时

Session 马上被超时示例:

    protected void deleteNow(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //先获取Session对象
        HttpSession session = req.getSession();
        //让session会话马上超时
        session.invalidate();

        resp.getWriter().write("Session已经设置为超时(无效)");
    }

2.5 浏览器和Session之间关联

Session 技术,底层其实是基于 Cookie 技术来实现的

虽然Session保存在服务器,对客户端是透明的,它的正常运行仍然需要客户端浏览器的支持。这是因为Session需要使用Cookie作为识别标志。HTTP协议是无状态的,Session不能依据HTTP连接来判断是否为同一客户,因此服务器向客户端浏览器发送一个名为JSESSIONID 的Cookie,它的值为该Session的id(也就是HttpSession.getId()的返回值)。Session依据该Cookie来识别是否为同一用户。

该Cookie为服务器自动生成的,它的maxAge属性一般为-1,表示仅当前浏览器内有效,并且各浏览器窗口间不共享,关闭浏览器就会失效。因此同一机器的两个浏览器窗口访问服务器时,会生成两个不同的Session。但是由浏览器窗口内的链接、脚本等打开的新窗口(也就是说不是双击桌面浏览器图标等打开的窗口)除外。这类子窗口会共享父窗口的Cookie,因此会共享一个Session。

注意:新开的浏览器窗口会生成新的Session,但子窗口除外。子窗口会共用父窗口的Session。例如,在链接上右击,在弹出的快捷菜单中选择"在新窗口中打开"时,子窗口便可以访问父窗口的Session。

在这里插入图片描述

三、Cookies 和 Session的区别

好的博客:

  • 好好了解一下Cookie(强烈推荐):https://www.jb51.net/article/86598.htm
  • Session原理:https://blog.csdn.net/axin66ok/article/details/6175522?utm_medium=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-7.baidujs&dist_request_id=&depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-7.baidujs
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值