【计算机网络】深入了解Session机制

---

1）什么是Session？

Session是服务器为了记录用户状态而创建的一个特殊的对象。不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。

• 客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，这就是Session。客户端浏览器再次访问时，只需要从该Session中查找该客户的状态就可以了。
• 当多个客户端执行程序时，服务器会保存多个客户端的Session。
• 获取Session的时候也不需要声明获取谁的Session。

Session机制决定了当前客户只会获取到自己的Session，而不会获取到别人的Session。各客户的Session也彼此独立，互不可见。

Session的作用

1、当浏览器第一次访问服务器时，服务器创建一个session对象（该对象有一个唯一的id，一般称之为sessionId）。
2、服务器会将sessionId以cookie的方式发送给浏览器。
3、当浏览器再次访问服务器时，会将sessionId发送给服务器。
4、服务器依据sessionId就可以找到对应的session对象。

Session的内部细节

Session对应的类为javax.servlet.http.HttpSession类。

• 每个来访者对应一个Session对象，所有该客户的状态信息都保存在这个Session对象里。
• Session对象是在客户端第一次请求服务器的时候创建的，Session也是一种key-value的属性对。
  • 通过getAttribute(Stringkey)和setAttribute(String key,Objectvalue)方法读写客户状态信息。
  • Servlet里通过request.getSession()方法获取该客户的Session。
  • request还可以使用getSession(boolean create)来获取Session。
    • 区别是如果该客户的Session不存在，request.getSession()方法会返回null，而getSession(true)会先创建Session再将Session返回。
• Servlet中必须使用request来编程式获取HttpSession对象，而JSP中内置了Session隐藏对象，可以直接使用。

2）Session的使用

Session的使用比Cookie方便，但是过多的Session存储在服务器内存中，会对服务器造成压力。

2.1 Session的创建和维护

Session保存在服务器端，为了获得更高的存取速度，服务器一般把Session放在内存里。

1、Session在用户第一次访问服务器的时候自动创建。

• 需要注意只有访问JSP、Servlet等程序时才会创建Session，只访问HTML、IMAGE等静态资源并不会创建Session。
• 如果尚未生成Session，也可以使用request.getSession(true)强制生成Session。

2、Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。

• 用户每访问服务器一次，无论是否读写Session，服务器都认为该用户的Session“活跃（active）”了一次。

2.2 Session的有效期

每个用户都会有一个独立的Session。如果Session内容过于复杂，当大量客户访问服务器时可能会导致内存溢出。因此，Session里的信息应该尽量精简。

为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。

• 这个时间就是Session的超时时间。
  • 如果超过了超时时间没访问过服务器，Session就自动失效了。
  • Session的超时时间为maxInactiveInterval属性：
    • 可以通过对应的getMaxInactiveInterval()获取。
    • 通过setMaxInactiveInterval(longinterval)修改。
  • Session的超时时间也可以在web.xml中修改。
  • 另外，通过调用Session的invalidate()方法可以使Session失效。

• Tomcat中Session的默认超时时间为20分钟。通过setMaxInactiveInterval(int seconds)修改超时时间。
• 可以修改web.xml改变Session的默认超时时间。

2.3 Session的常用方法

Session中包括各种方法，使用起来要比Cookie方便得多。

• HttpSession的常用方法：

• 

3）Session对浏览器的要求

3.1 Session与Cookie

虽然Session保存在服务器，对客户端是透明的，它的正常运行仍然需要客户端浏览器的支持。这是因为Session需要使用Cookie作为识别标志。

• 服务器向客户端浏览器发送一个名为JSESSIONID的Cookie，它的值为该Session的id（也就是HttpSession.getId()的返回值）。
• Session依据该Cookie来识别是否为同一用户。

该Cookie为服务器自动生成的，它的maxAge属性一般为–1，表示仅当前浏览器内有效，并且各浏览器窗口间不共享，关闭浏览器就会失效。

• 因此同一机器的两个浏览器窗口访问服务器时，会生成两个不同的Session。
• 但是由浏览器窗口内的链接、脚本等打开的新窗口（也就是说不是双击桌面浏览器图标等打开的窗口）除外。这类子窗口会共享父窗口的Cookie，因此会共享一个Session。

• 如果客户端浏览器将Cookie功能禁用，或者不支持Cookie怎么办？

  例如，绝大多数的手机浏览器都不支持Cookie。Java Web提供了另一种解决方案：URL地址重写。

3.2 URL地址重写

URL地址重写是对客户端不支持Cookie的解决方案。

• 原理：

  将该用户Session的id信息重写到URL地址中。

  • 服务器能够解析重写后的URL获取Session的id。这样即使客户端不支持Cookie，也可以使用Session来记录用户状态。

• 重写方式：

  1、HttpServletResponse类提供了encodeURL(Stringurl)实现URL地址重写。

  • 该方法会自动判断客户端是否支持Cookie。
    • 如果客户端支持Cookie，会将URL原封不动地输出来。
    • 如果客户端不支持Cookie，则会将用户Session的id重写到URL中：
      • 即在文件名的后面，在URL参数的前面添加了字符串“;jsessionid=XXX”。其中XXX为Session的id。
        
        

  2、页面重定向（Redirection）：

  • 效果跟response.encodeURL(String url)是一样的：
    • 如果客户端支持Cookie，生成原URL地址。
    • 如果不支持Cookie，传回重写后的带有jsessionid字符串的地址。

• 对于WAP程序，由于大部分的手机浏览器都不支持Cookie，WAP程序都会采用URL地址重写来跟踪用户会话。比如用友集团的移动商街等。
• 注意：TOMCAT判断客户端浏览器是否支持Cookie的依据是请求中是否含有Cookie。
  • 尽管客户端可能会支持Cookie，但是由于第一次请求时不会携带任何Cookie（因为并无任何Cookie可以携带），URL地址重写后的地址中仍然会带有jsessionid。
  • 当第二次访问时服务器已经在浏览器中写入Cookie了，因此URL地址重写后的地址中就不会带有jsessionid了。

3.3 在Session中禁止使用Cookie

既然WAP上大部分的客户浏览器都不支持Cookie，索性禁止Session使用Cookie，统一使用URL地址重写会更好一些。

Java Web规范支持通过配置的方式禁用Cookie：

• 编辑项目sessionWeb的WebRoot目录下的META-INF文件夹中的context.xml（如果没有则创建）。
• 或者修改Tomcat全局的conf/context.xml
• 具体修改内容可参考：https://www.cnblogs.com/l199616j/p/11195667.html#_label0_12
  
  

注意：该配置只是禁止Session使用Cookie作为识别标志，并不能阻止其他的Cookie读写。

• 也就是说服务器不会自动维护名为JSESSIONID的Cookie了，但是程序中仍然可以读写其他的Cookie。

部署后TOMCAT便不会自动生成名JSESSIONID的Cookie，Session也不会以Cookie为识别标志，而仅仅以重写后的URL地址为识别标志了。

---

【部分内容参考自】

• cookie和session的详解与区别：https://www.cnblogs.com/l199616j/p/11195667.html#_label0_12