5月18日 笔记 session

1。session的超时管理
   * 超过该时间,session就被服务器回收  设置方式分为三种:
   * 设置方式一
       在tomcat服务器配置   D:/apache-tomcat-6.0.18/conf/web.xml文件中
          设置session的超市时间 以分钟为单位
          <session-config>
              <session-timeout>30</session-timeout>
          </session-config>
         
   * 设置方式二
      在当前web应用的web.xml文件中设置    设置session的超市时间 以分钟为单位
       改设置会覆盖tomcat服务器下web.xml文件中session的超时设置
         <session-config>
           <session-timeout>10</session-timeout>
         </session-config>
    
   * 设置方式三
      在当前的类中设置,改设置方式会覆盖 设置方式二 中的设置
      
  HttpSession session=request.getSession(true);
  //设置session处理不活动的最大时间间隔 以秒为单位
  session.setMaxInactiveInterval(5);
  
     
    注:优先级:从高到低
         设置方式三 ----》   设置方式二 ----》  设置方式一
       
       
   
2.两个浏览器窗口访问应用程序会使用同一个session

通常session cookie是不能跨窗口使用的，当你新开了一个浏览器窗口进入相同页面时，系统会赋予你一个新的session id，这样信息共享的目的就达不到了。
此时可以先把session id保存在persistent cookie中(通过设置cookie的最大有效时间)，然后在新窗口中读出来，就可以得到上一个窗口的session id了，这样通过session cookie和persistent cookie的结合就可以实现了跨窗口的会话跟踪。
有的浏览器已经实现了这个功能

没有实现的代码如下 JSESSIONID要大写
Cookie c=new Cookie("JSESSIONID",session.getId());
c.setMaxAge(60*7);
response.addCookie(c);

 

 

Session与Cookie的比较：

5.3.1  从存取方式上比较

Cookie中只能保存ASCII字符串，如果需要存取Unicode字符或者二进制数据，需要进行UTF-8，GBK或者BASE64等方式的编码。Cookie中也不能直接存取Java对象。若要存储稍微复杂的信息，使用Cookie是比较困难的。

而Session中可以存取任何类型的数据，包括而不限于String、Integer、List、Map等。Session中也可以直接保存Java Bean乃至任何Java类，对象等，使用起来非常方便。可以把Session看做是一个Java容器类。

5.3.2  从隐私安全上比较

Cookie存储在客户端浏览器中，对客户端是可见的，客户端的一些程序可能会窥探、复制甚至修改Cookie中的内容。而Session存储在服务器上，对客户端是透明的，不存在敏感信息泄露的危险。

如果选用Cookie，比较好的办法是，敏感的信息如账号密码等尽量不要写到Cookie中。最好是像Google、Baidu那样将Cookie信息加密，提交到服务器后再进行解密，保证Cookie中的信息只有自己能读得懂。而如果选择Session就省事多了，反正是放在服务器上，Session里任何隐私都可以。

5.3.3  从有效期上比较

使用过Google的人都知道，如果登录过Google，则Google的登录消息长期有效。用户不必每次访问都重新登录，Google会长久地记录该用户的登录信息。要达到这种效果，使用Cookie会是比较好的选择。只需要设置Cookie的maxAge属性为一个很大很大的数字或者Integer.MAX_VALUE就可以了。Cookie的maxAge属性支持这样的效果。

使用Session理论上也能实现这种效果。只要调用方法setMaxInactiveInterval(Integer. MAX_VALUE)不就可以了么。但是由于Session依赖于名为JSESSIONID的Cookie，而Cookie JSESSIONID的maxAge默认为–1，只要关闭了浏览器该Session就会失效，因此Session不能实现信息永久有效的效果。使用URL地址重写也不能实现。

而且如果设置Session的超时时间过长，服务器累计的Session就会越多，越容易导致内存溢出。

5.3.4  从对服务器的负担上比较

Session是保存在服务器端的，每个用户都会产生一个Session。如果并发访问的用户非常多，会产生非常多的Session，消耗大量的内存。因此像Google、Baidu、Sina这样并发访问量极高的网站，是不太可能使用Session来追踪客户会话的。

而Cookie保存在客户端，不占用服务器资源。如果并发浏览的用户非常多，Cookie是很好的选择。对于Google、Baidu、Sina来说，Cookie也许是唯一的选择。

5.3.5  从浏览器支持上比较

Cookie是需要客户端浏览器支持的。如果客户端禁用了Cookie，或者不支持Cookie，则会话跟踪会失效。对于WAP上的应用，常规的Cookie就派不上用场了。

如果客户端浏览器不支持Cookie，需要使用Session以及URL地址重写。需要注意的是所有的用到Session程序的URL都要使用response.encodeURL(String URL)或者response.encodeRedirectURL(String URL)进行URL地址重写，否则导致Session会话跟踪失败。对于WAP应用来说，Session+URL地址重写也许是它唯一的选择。

如果客户端支持Cookie，则Cookie既可以设为本浏览器窗口以及子窗口内有效（把maxAge设为–1），也可以设为所有浏览器窗口内有效（把maxAge设为某个大于0的整数）。但Session只能在本浏览器窗口以及其子窗口内有效。如果两个浏览器窗口互不相干，它们将使用两个不同的Session。

5.3.6  从跨域名上比较

Cookie支持跨域名访问，例如将domain属性设置为“.helloweenvsfei.com”，则以“.helloweenvsfei.com”为后缀的所有域名均可以访问该Cookie。跨域名Cookie现在被广泛用在网络中，例如Google、Baidu、Sina等。而Session则不会支持跨域名访问。Session仅在他所在的域名内有效。

%注意：仅使用Cookie或者仅使用Session可能实现不了理想的效果。这时应该尝试一下同时使用Cookie与Session。Cookie与Session的搭配使用在实际项目中会实现绚烂多姿的效果