业精于勤，荒于嬉

本文详细介绍了保持用户登录状态的两种主要技术方案：HttpSession和Cookie。HttpSession通过在服务器端存储会话数据（仅保存会话ID在客户端），更适合处理登录状态；而Cookie则是客户端存储机制，适合存储非敏感信息。文章从实现原理、代码示例、安全设置等方面进行了对比分析，并给出了实践建议：优先使用HttpSession处理登录状态，若使用Cookie需设置HttpOnly、Secure等安全属性。同时提供了登录/登出的代码示例和常见问题解答，强调安全性是系统设计的首要考虑因素。

1. Cookie 是服务器在客户端保存用户的信息，比如登录名，浏览历史等, 就可以以 cookie方式保存.2. Cookie 信息就像是小甜饼(cookie 中文)一样，数据量并不大，服务器端在需要的时候可以从客户端浏览器读取(http 协议)，可以通过图来理解再次说明: cookie数据是保存在浏览器的1. Cookie 的生命周期指的是如何管理 Cookie 什么时候被销毁（删除）● 正数，表示在指定的秒数后过期● 负数，表示浏览器关闭，Cookie 就会被删除（默认值是-1）

Cookie 的生命周期指的是如何管理 Cookie 什么时候被销毁（删除）​ ● 正数，表示在指定的秒数后过期​ ● 负数，表示浏览器关闭，Cookie 就会被删除（默认值是-1）​ ● 0，表示马上删除 Cookie。

Servlet 容器(比如: Tomcat)加载 Servlet，加载完成后，Servlet 容器会创建一个 Servlet 实例并调用 init()方法，init()方法只会调用一次, Servlet 容器在下面的情况装载 Servlet。​ 3. Servlet 重新装载时(比如 tomcat 进行 redeploy【redeploy 会销毁所有的 Servlet 实例】)， 浏览器再向 Servlet 发送请求的第 1 次。每收到一个 http 请求，服务器就会产生一个新的线程去处理[线程]

如果没有调用 setMaxInactiveInterval() 来指定 Session 的生命时长，Tomcat 会以 Session默认时长为准，Session 默认的超时为 30 分钟， 可以在 tomcat 的 web.xml 设置。public void setMaxInactiveInterval(int interval) 设置 Session 的超时时间（以秒为单位），超过指定的时长，Session 就会被销毁。值为正数的时候，设定 Session 的超时时长。

用户量很大之后，Session对象相应的也要创建很多。如果一味创建不释放，那么服务器端的内存迟早要被耗尽。从服务器端的角度，很难精确得知类似浏览器关闭的动作。而且即使浏览器一直没有关闭，也不代表用户仍然在使用。前提：浏览器正常访问服务器。