会话技术及Cookie与Session

基础不牢，地动山摇...

已于 2024-05-06 11:40:29 修改

阅读量705

点赞数 23

分类专栏： JavaWeb 文章标签： java tomcat servlet

于 2024-05-05 19:01:10 首次发布

本文链接：https://blog.csdn.net/danxiaodeshitou/article/details/138444947

版权

JavaWeb 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

1. 会话跟踪技术的概述

1.1 会话的概念

用户打开浏览器，访问web服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含多次请求和响应。

从浏览器发出请求到服务端响应数据给前端之后，一次会话(在浏览器和服务器之间)就被建立了
会话被建立后，如果浏览器或服务端都没有被关闭，则会话就会持续建立着
浏览器和服务器就可以继续使用该会话进行请求发送和响应，上述的整个过程就被称之为会话。

在我们访问京东的时候，当打开浏览器进入京东首页后，浏览器和京东的服务器之间就建立了一次会话，后面的搜索商品,查看商品的详情,加入购物车等都是在这一次会话中完成。

每个浏览器都会与服务端建立了一个会话，加起来总共是3个会话。

1.2 会话跟踪

一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据。

服务器会收到多个请求，这多个请求可能来自多个浏览器，如上图中的6个请求来自3个浏览器
服务器需要用来识别请求是否来自同一个浏览器
服务器用来识别浏览器的过程，这个过程就是会话跟踪
服务器识别浏览器后就可以在同一个会话中多次请求之间来共享数据

1.3 为什么需要会话管理

浏览器和服务器之间使用的是HTTP请求来进行数据传输
HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求
HTTP协议设计成无状态的目的是让每次请求之间相互独立，互不影响
请求与请求之间独立后，就无法实现多次请求之间的数据共享

实现会话跟踪技术，具体的实现方式有两种

(1)客户端会话跟踪技术:Cookie

(2)服务端会话跟踪技术:Session

这两个技术都可以实现会话跟踪，它们之间最大的区别:Cookie是存储在浏览器端而Session是存储在服务器端

2. Cookie

2.1 概念

Cookie:客户端会话技术，将数据保存到客户端，以后每次请求都携带Cookie数据进行访问。

2.2 Cookie的工作流程

服务端提供了两个Servlet，分别是ServletA和ServletB
浏览器发送HTTP请求1给服务端，服务端ServletA接收请求并进行业务处理
服务端ServletA在处理的过程中可以创建一个Cookie对象并将 name=zs 的数据存入Cookie 服务端
ServletA在响应数据的时候，会把Cookie对象响应给浏览器
浏览器接收到响应数据，会把Cookie对象中的数据存储在浏览器内存中，此时浏览器和服务端就建立了一次会话
在同一次会话中浏览器再次发送HTTP请求2给服务端ServletB，浏览器会携带Cookie对象中的所有数据
ServletB接收到请求和数据后，就可以获取到存储在Cookie对象中的数据，这样同一个会话中的多次请求之间就实现了数据共享

2.3 Cookie的基本使用

对于Cookie的操作主要分两大类，发送Cookie和获取Cookie

2.3.1 发送Cookie

创建Cookie对象，并设置数据

@ResponseBody
@RequestMapping(value = "/setCookie")
public String setCookie(HttpServletRequest request, HttpServletResponse response){
    //发送Cookie
    //1. 创建Cookie对象
    Cookie cookie = new Cookie("username","zs");
    //2. 发送Cookie，response
    response.addCookie(cookie);
    return "hello";
}

访问地址:http://localhost:8080/cookie/test

查看

或

2.3.2 获取Cookie

@ResponseBody
@RequestMapping(value = "/getCookie")
public String getCookie(HttpServletRequest request, HttpServletResponse response) {
    //1. 获取Cookie数组
    Cookie[] cookies = request.getCookies(); 
    //2. 遍历数组
    for (Cookie cookie : cookies) {
    //3. 获取数据
        String name = cookie.getName();
        if ("username".equals(name)) {
            String value = cookie.getValue();
            System.out.println(name + ":" + value);
            break;
        }
    }
    return "hello";
}

--控制台输出
username:zs

2.4 Cookie的原理分析

对于Cookie的实现原理是基于HTTP协议的,涉及HTTP协议中的两个请求头信息:

响应头:set-cookie
请求头: cookie

前面的案例中已经能够看奥，setCookie给前端发送Cookie,getCookie从request中获取 Cookie的功能
对于setCookie响应数据的时候，Tomcat服务器都是基于HTTP协议来响应数据
当Tomcat发现后端要返回的是一个Cookie对象之后，Tomcat就会在响应头中添加一行数据Set-Cookie:username=zs
浏览器获取到响应结果后，从响应头中就可以获取到 Set-Cookie 对应值 username=zs ,并将数据存储在浏览器的内存中
浏览器再次发送请求给BServlet的时候，浏览器会自动在请求头中添加Cookie:username=zs发送给服务端getCookie
Request对象会把请求头中cookie对应的值封装成一个个Cookie对象，最终形成一个数组
getCookie通过Request对象获取到Cookie[]后，就可以从中获取自己需要的数据

2.5 Cookie的使用细节

2.5.1 Cookie的存活时间

浏览器发送请求给setCookie,setCookie会响应一个存有 usernanme=zs 的Cookie对象给浏览器

(2)浏览器接收到响应数据将cookie存入到浏览器内存中

(3)当浏览器再次发送请求给getCookie,getCookie就可以使用Request对象获取到Cookie数据

(4)在发送请求到BServlet之前，如果把浏览器关闭再打开进行访问，BServlet无法获取到 Cookie数据

注意:浏览器关闭再打开不是指打开一个新的选显卡，而且必须是先关闭再打开，顺序不能变。

默认情况下，Cookie存储在浏览器内存中，当浏览器关闭，内存释放，则Cookie被销毁

2.5.2 Cookie持久化

设置Cookie存活时间

setMaxAge(int seconds)

参数值:

1.正数:将Cookie写入浏览器所在电脑的硬盘，持久化存储。到时间自动删除

2.负数:默认值，Cookie在当前浏览器内存中，当浏览器关闭，则Cookie被销毁

3.零:删除对应Cookie

@ResponseBody
@RequestMapping(value = "/setCookie")
public String setCookie(HttpServletRequest request, HttpServletResponse response){
    //发送Cookie
    //1. 创建Cookie对象
    Cookie cookie = new Cookie("username","zs");
    // 设置存活时间 600s
    cookie.setMaxAge(600);
    //2. 发送Cookie，response
    response.addCookie(cookie);
    return "hello";
}

效果如下：

Set-Cookie头重包含了存活超时时间

2.5.3 Cookie存储中文

Cookie默认不能存储中文,需要进行URL编码和解码

String value = "张三";
//URL编码
value = URLEncoder.encode(value, "UTF-8");
System.out.println("存储数据："+value); // 存储数据：%E5%BC%A0%E4%B8%89
Cookie cookie = new Cookie("username",value);
response.addCookie(cookie);


//获取Cookie并解码
//1. 获取Cookie数组
Cookie[] cookies = request.getCookies();
//2. 遍历数组
for (Cookie cookie : cookies) {
    //3. 获取数据
    String name = cookie.getName();
    if("username".equals(name)){
        String value = cookie.getValue();
        //URL解码
        value = URLDecoder.decode(value,"UTF-8");
        System.out.println(name+":"+value);
        break;
    }
}

2.5.4 Cookie设置路径

访问互联网资源时不需要每次都把所有Cookie带上。访问不同的资源时，可以携带不同的cookie，可以通过Cookie的setPath(String path) 对Cookie的路径进行设置。

@ResponseBody
@RequestMapping(value = "/setCookie")
public String setCookie(HttpServletRequest request, HttpServletResponse response) {
    //发送Cookie
    //1. 创建Cookie对象
    Cookie cookie1 = new Cookie("c1", "zs");
    Cookie cookie2 = new Cookie("c2", "zs");
    Cookie cookie3 = new Cookie("c3", "zs");
    Cookie cookie4 = new Cookie("c4", "zs");
    // 设置存活时间 600s
    cookie1.setMaxAge(600);
    cookie2.setMaxAge(600);
    cookie3.setMaxAge(600);
    cookie4.setMaxAge(600);
    cookie1.setPath("/cookie");     // 访问/cookie/**时cookie1被带到服务器
    cookie2.setPath("/cookie/getCookie");// 访问/cookie/getCookie时cookie2被带到服务器
    cookie4.setPath("/");
    //2. 发送Cookie，response
    response.addCookie(cookie1);
    response.addCookie(cookie2);
    response.addCookie(cookie3);
    response.addCookie(cookie4);
    return "hello";
}

http://localhost:8080/cookie/setCookie

http://localhost:8080/cookie/getCookie

可以看到,没有单独设置路径和设置了/cookie以及/cookie/getCookie路径的cookie，访问上述url时，cookie信息被浏览器带到了服务端。

注:这里c3没有设置单独的路径,在访问/cookie 的url时,Path被设置为/cookie下。

当访问 http://localhost:8080/session/getSession时

可以看到只有Path=/，访问上述url时浏览器将c4带到服务器

3. Session

3.1 概念

HttpSession是一种保留更多信息在服务端的一种技术，服务器会为每一个客户端开辟一块内存空间，即Session对象.。客户端在发送请求时，都可以使用自己的Session。这样服务端就可以通过 Session来记录某个客户端的状态。

服务端在为客户端创建session时，会同时将session对象的id，即JSESSIONID以Cookie的形式放入响应对象;
后端创建完session后，客户端会收到一个特殊的Cookie，叫做JSESSIONID;
客户端下一次请求时携带JSESSIONID，后端收到后，根据JSESSIONID找到对应的session对象;
通过该机制，服务端通过session就可以存储一些专门针对某个客户端的信息了;

原理图

3.2 Session的基本使用

3.2.1 设置session

@ResponseBody
@RequestMapping(value = "/setSession")
public String setCookie(HttpServletRequest request, HttpServletResponse response)
    //存储到Session中
    //1. 获取Session对象
    HttpSession session = request.getSession();
    System.out.println(session);
    //2. 存储数据
    session.setAttribute("username", "zs");
    return "hello";
}
--输出
org.apache.catalina.session.StandardSessionFacade@458e8e43

3.2.2 获取session

@ResponseBody
@RequestMapping(value = "/getSession")
public String getCookie(HttpServletRequest request, HttpServletResponse response) {
    //获取数据，从session中
    //1. 获取Session对象
    HttpSession session = request.getSession();
    System.out.println(session);
    
    //2. 获取数据
    Object username = session.getAttribute("username");
    System.out.println(username);
    return "hello";
}
--输出
org.apache.catalina.session.StandardSessionFacade@458e8e43
zs

启动测试(在同一会话中访问)：

http://localhost:8080/session/setSession 浏览器获取JSESSIONID

http://localhost:8080/session/getSession 浏览器发送JSESSIONID

服务端输出:

3.3 Session的原理分析

getSession方法处理逻辑

3.4 Session的使用细节

3.4.1 Session钝化与活化

Session数据存储在服务端，服务器正常重启(使用命令行的方式来启动和停止Tomcat服务器)后，Session数据会被保存
浏览器被关闭启动后，重新建立的连接就已经是一个全新的会话，获取的Session数据也是一个新的对象
Session的数据要想共享，浏览器不能关闭，所以session数据不能长期保存数据
cookie是存储在客户端，是可以长期保存

3.4.2 Session销毁

Session的销毁会有两种方式:

默认情况下，无操作，30分钟自动销毁

对于这个失效时间，是可以通过配置进行修改的

超时销毁

在项目的web.xml中配置

如果没有配置，默认是30分钟，默认值是在Tomcat的web.xml配置文件中写死的

也可以通过HttpSession的API 对最大闲置时间进行设定。

session.setMaxInactiveInterval(60);

调用Session对象的invalidate()进行销毁

//1. 获取Session对象
HttpSession session = request.getSession();
System.out.println(session);
// 销毁
session.invalidate();

4. Cookie和Session小结

Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。

区别:
- 存储位置:Cookie 是将数据存储在客户端，Session 将数据存储在服务端
- 安全性:Cookie不安全，Session安全
- 数据大小:Cookie最大3KB，Session无大小限制
- 存储时间:Cookie可以通过setMaxAge()长期存储，Session默认30分钟
- 服务器性能:Cookie不占服务器资源，Session占用服务器资源
应用场景:
- 购物车:使用Cookie来存储
- 以登录用户的名称展示:使用Session来存储
- 记住我功能:使用Cookie来存储
- 验证码:使用Session来存储
结论
- Cookie是用来保证用户在未登录情况下的身份识别
- Session是用来保存用户登录后的数据