Session如何工作

同一个客户端每次和服务端交互时，不需要每次都传所有的Cookie值，而是只要传一个ID，这个ID是客户端第一次访问服务器的时候生成的，而且每个客户端都是唯一的。这样每个客户端都有一个唯一的ID，客户端只要回传这个ID就行了，这个ID通常为JSESSINID的一个Cookie。

有了SessionID，服务端就可以创建HttpSession对象了。第一次触发通过request.getSession()方法，如果当前的SessionID还没有对应的HttpSession对象，那么就创建一个新的，并将这个对象加到Manager的sessions容器中保存。Manager类将管理所有的Session生命周期，Session过期将被回收；服务器关闭，Session将被序列化到磁盘。只要这个HttpSession对象存在，用户就可以根据SessionID来获取这个对象，也就达到了状态的保持。

Session更适合存储用户隐私和重要的数据。