会话技术Cookie和Session详解

会话跟踪技术的概述

会话

用户打开浏览器，访问web服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含多次请求和响应

• 从浏览器发出请求到服务端响应数据给前端之后，一次会话(在浏览器和服务器之间)就被建立了
• 会话被建立后，如果浏览器或服务端都没有被关闭，则会话就会持续建立着
• 浏览器和服务器就可以继续使用该会话进行请求发送和响应，上述的整个过程就被称之为会话
  

会话跟踪

一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据

• 服务器会收到多个请求，多个请求可能来自多个浏览器
• 服务器需要用来识别请求是否来自同一个浏览器
• 服务器用来识别浏览器的过程，这个过程就是会话跟踪
• 服务器识别浏览器后就可以在同一个会话中多次请求之间来共享数据
  

思考

为什么现在浏览器和服务器不支持数据共享呢?

• 浏览器和服务器之间使用的是HTTP协议来进行数据传输
• HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求
• HTTP协议设计成无状态的目的是让每次请求之间相互独立，互不影响
• 请求与请求之间独立后，就无法实现多次请求之间的数据共享

分析完具体的原因后，那么该如何实现会话跟踪技术呢? 具体的实现方式有:

1. 客户端会话跟踪技术：Cookie
2. 服务端会话跟踪技术：Session

这两个技术都可以实现会话跟踪，它们之间最大的区别：
Cookie是存储在浏览器端，而Session是存储在服务器端

Cookie

Cookie的基本使用

概念

Cookie：客户端会话技术，将数据保存到客户端，以后每次请求都携带Cookie数据进行访问

工作流程

• 服务端提供了两个Servlet，分别是ServletA和ServletB
• 浏览器发送HTTP请求1给服务端，服务端ServletA接收请求并进行业务处理
• 服务端ServletA在处理的过程中可以创建一个Cookie对象并将name=zs的数据存入Cookie
• 服务端ServletA在响应数据的时候，会把Cookie对象响应给浏览器
• 浏览器接收到响应数据，会把Cookie对象中的数据存储在浏览器内存中，此时浏览器和服务端就建立了一次会话
• 在同一次会话中浏览器再次发送HTTP请求2给服务端ServletB，浏览器会携带Cookie对象中的所有数据
• ServletB接收到请求和数据后，就可以获取到存储在Cookie对象中的数据，这样同一个会话中的多次请求之间就实现了数据共享

注：cookie是创建在服务器端，存在浏览器端
优缺点：减轻服务器压力，但是不安全

Cookie的基本使用

发送Cookie

• 创建Cookie对象，并设置数据

Cookie(String name, String value)
Cookie cookie = new Cookie(“key”,“value”);

• 发送Cookie到客户端：使用response对象

response.addCookie(cookie);

获取Cookie

• 获取客户端携带的所有Cookie，使用request对象

Cookie[] cookies = request.getCookies();

• 遍历数组，获取每一个Cookie对象
• 使用Cookie对象方法获取数据Cookie(String name,String value)

cookie.getName(); 获取Cookie类构造方法的第一个参数 name
cookie.getValue();获取Cookie类构造方法的第二个参数value

Cookie的原理

对于Cookie的实现原理是基于HTTP协议的,其中涉及到HTTP协议中的两个头信息:

• 响应头：set-cookie
• 请求头：cookie

• 前面的案例中已经能够实现，AServlet给前端发送Cookie,BServlet从request中获取Cookie的功能
• 对于AServlet响应数据的时候，Tomcat服务器都是基于HTTP协议来响应数据
• 当Tomcat发现后端要返回的是一个Cookie对象之后，Tomcat就会在响应头中添加一行数据Set-Cookie:username=zs
• 浏览器获取到响应结果后，从响应头中就可以获取到Set-Cookie对应值username=zs,并将数据存储在浏览器的内存中
• 浏览器再次发送请求给BServlet的时候，浏览器会自动在请求头中添加Cookie: username=zs发送给服务端BServlet
• Request对象会把请求头中cookie对应的值封装成一个个Cookie对象，最终形成一个数组
• BServlet通过Request对象获取到Cookie[]后，就可以从中获取自己需要的数据
  

Cookie的使用细节

存活时间

cookie有两种：

1. 会话级别的cookie：会话结束，那么cookie消失
2. 持久化级别的cookie：当前会话结束，cookie并没有消失，而是保存，下次访问同一个服务器，cookie数据依然存在

默认情况下，Cookie存储在浏览器内存中，当浏览器关闭，内存释放，则Cookie被销毁
让Cookie持久化存储：

• 设置Cookie存活时间

setMaxAge(int seconds) cookie.setMaxAge

参数值为:

1. 正数：将Cookie写入浏览器所在电脑的硬盘，持久化存储。到时间自动删除
2. 负数：默认值，Cookie在当前浏览器内存中，当浏览器关闭，则Cookie被销毁
3. 零：删除对应Cookie
   

关于cookie中存储特殊字符问题

如果直接向cookie中存储特殊字符，例如空格,分号(😉,逗号(,)等特殊字符。那么就会出现问题。在向cookie中存储特殊字符之前必须要先进行编码处理，然后从cookie中取出之后在进行解码处理。

String encode = URLEncoder.encode(str, “utf-8”);
String decode = URLDecoder.decode(value, “utf-8”);

Session

Session的基本使用

概念

Session：服务端会话跟踪技术：将数据保存到服务端

• Session是存储在服务端而Cookie是存储在客户端
• 存储在客户端的数据容易被窃取和截获，存在很多不安全的因素
• 存储在服务端的数据相比于客户端来说就更安全
  

工作流程

• 在服务端的AServlet获取一个Session对象，把数据存入其中
• 在服务端的BServlet获取到相同的Session对象，从中取出数据
• 就可以实现一次会话中多次请求之间的数据共享了
• 现在最大的问题是如何保证AServlet和BServlet使用的是同一个Session对象(在原理分析会讲解)?
  

Session的基本使用

在JavaEE中提供了HttpSession接口，来实现一次会话的多次请求之间数据共享功能。

• 获取Session对象,使用的是request对象

HttpSession session = request.getSession(); 如果是第一次执行那么就是创建session对象，如果不是第一次执行就是获取session
HttpSession getSession(boolean create) ; 参数是true用法和无参用法一样的，如果参数是false表示如果存在session就获取session，不存在则返回null;

Session对象提供的功能:session也是域对象，使用范围比request大，只要在一次会话过程中多次请求都可以共享session中的数据

• 存储数据到 session 域中

void setAttribute(String name, Object o)

• 根据 key，获取值

Object getAttribute(String name)

• 根据 key，删除该键值对

void removeAttribute(String name)

Session的原理

Session是基于Cookie来实现的
session和浏览器没有任何关系，存在服务器端的。

Session的使用细节

浏览器关闭后，session持久化方案

tomcat在创建cookie的时候属于会话级别的cookie，关闭浏览器，cookie消失，下次打开浏览器不会携带之前的cookie即cookie中的JSESSIONID到tomcat服务器中了，那么这样会造成tomcat服务器中会有很多个不能使用的session容器(session依然还在，只是找不到了)。严重的话会造成服务器宕机。
主要问题是cookie是会话级别的，我们只需要将会话级别的cookie变为持久化级别的即可。
步骤：

1. 创建session
2. 获取session的JSESSIOID的值
3. 创建Cookie ,Cookie(“JSESSIOID”,值)
4. 使用cookie对象调用方法setMaxAge()进行cookie的持久化，存活时间建议30min
5. 将cookie响应给浏览器

持久化session就是持久化cookie

Session的钝化与活化(了解)

服务器重启后，Session中的数据是否还在?
肯定是不在了
钝化：就是正常关闭tomcat服务器，会将session容器中的数据长久保存到硬盘上。底层原理是序列化。
活化：就是启动tomcat服务器，将之前钝化的session容器读取到内存中。底层原理是反序列化。
注意：
1.由于钝化和活化的原理是序列化和反序列化，所以要求存储在session容器中的对象所属类必须实现序列化接口Serializable。
2.演示钝化和活化效果不能在idea中演示，我们需要将当前项目打成war包放到tomcat服务器中的webapps目录下进行演示。

Session销毁

session的销毁会有两种方式:

• 默认情况下，无操作，30分钟自动销毁

• 调用Session对象的invalidate()进行销毁
  • 该销毁方法一般会在用户退出的时候，需要将session销毁掉。
    

小结

Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。
所需两个对象放在一块，就需要思考:
Cookie和Session的区别是什么?
Cookie和Session的应用场景分别是什么?

• 区别:
  • 存储位置：Cookie 是将数据存储在客户端，Session 将数据存储在服务端
  • 安全性：Cookie不安全，Session安全
  • 数据大小：Cookie最大3KB，Session无大小限制
  • 存储时间：Cookie可以通过setMaxAge()长期存储，Session默认30分钟
  • 服务器性能：Cookie不占服务器资源，Session占用服务器资源
• 应用场景:
  • 购物车:使用Cookie来存储
  • 以登录用户的名称展示:使用Session来存储
  • 记住我 功能:使用Cookie来存储
  • 验证码:使用session来存储
• 结论
  • Cookie是用来保证用户在未登录情况下的身份识别
  • Session是用来保存用户登录后的数据