Session详解

Session详解

虽然session机制在web应用程序中被采用已经很长时间了，但是仍然有很多人不清楚session机制的本质，以至不能正确的应用这一技术。本文将详细讨论session的工作机制并且对在Java web application中应用session机制时常见的问题作出解答。

一、术语session 1 / 13品

　　　session，中文经常翻译为会话，其本来的含义是指有始有终的一系列动作/消息，比如打电话时从拿起电话拨号到挂断电话这中间的一系列过程可以称之为一个session。有时候我们可以看到这样的话“在一个浏览器会话期间，...”，这里的会话一词用的就是其本义，是指从一个浏览器窗口打开到关闭这个期间。最混乱的是“用户（客户端）在一次会话期间”这样一句话，它可能指用户的一系列动作（一般情况下是同某个具体目的相关的一系列动作，比如从登录到选购商品到结账登出这样一个网上购物的过程，有时候也被称为一个transaction），然而有时候也可能仅仅是指一次连接，也有可能是指含义①，其中的差别只能靠上下文来推断②。

　　然而当session一词与网络协议相关联时，它又往往隐含了“面向连接”和/或“保持状态”这样两个含义，“面向连接”指的是在通信双方在通信之前要先建立一个通信的渠道，比如打电话，直到对方接了电话通信才能开始，与此相对的是写信，在你把信发出去的时候你并不能确认对方的地址是否正确，通信渠道不一定能建立，但对发信人来说，通信已经开始了。“保持状态”则是指通信的一方能够把一系列的消息关联起来，使得消息之间可以互相依赖，比如一个服务员能够认出再次光临的老顾客并且记得上次这个顾客还欠店里一块钱。这一类的例子有“一个TCP session”或者“一个POP3 session”③。

　　而到了web服务器蓬勃发展的时代，session在web开发语境下的语义又有了新的扩展，它的含义是指一类用来在客户端与服务器之间保持状态的解决方案。有时候session也用来指这种解决方案的存储结构，如“把xxx保存在session里”⑤。由于各种用于web开发的语言在一定程度上都提供了对这种解决方案的支持，所以在某种特定语言的语境下，session也被用来指代该语言的解决方案，比如经常把Java里提供的javax.servlet.http.HttpSession简称为session。

二、HTTP协议与状态保持

HTTP协议本身是无状态的，这与HTTP协议本来的目的是相符的，客户端只需要简单的向服务器请求下载某些文件，无论是客户端还是服务器都没有必要纪录彼此过去的行为，每一次请求之间都是独立的。

然而聪明（或者贪心？）的人们很快发现如果能够提供一些按需生成的动态信息会使web变得更加有用，就像给有线电视加上点播功能一样。这种需求一方面迫使HTML逐步添加了表单、脚本、DOM等客户端行为，另一方面在服务器端则出现了CGI规范以响应客户端的动态请求，作为传输载体的HTTP协议也添加了文件上载、cookie这些特性。其中cookie的作用就是为了解决HTTP协议无状态的缺陷所作出的努力。至于后来出现的session机制则是又一种在客户端与服务器之间保持状态的解决方案。

　　让我们用几个例子来描述一下cookie和session机制之间的区别与联系。笔者曾经常去的一家咖啡店有喝5杯咖啡免费赠一杯咖啡的优惠，然而一次性消费5杯咖啡的机会微乎其微，这时就需要某种方式来纪录某位顾客的消费数量。想象一下其实也无外乎下面的几种方案：

　　1、该店的店员很厉害，能记住每位顾客的消费数量，只要顾客一走进咖啡店，店员就知道该怎么对待了。这种做法就是协议本身支持状态。

　　2、发给顾客一张卡片，上面记录着消费的数量，一般还有个有效期限。每次消费时，如果顾客出示这张卡片，则此次消费就会与以前或以后的消费相联系起来。这种做法就是在客户端保持状态。

　　3、发给顾客一张会员卡，除了卡号之外什么信息也不纪录，每次消费时，如果顾客出示该卡片，则店员在店里的纪录本上找到这个卡号对应的纪录添加一些消费信息。这种做法就是在服务器端保持状态。

　　由于HTTP协议是无状态的，而出于种种考虑也不希望使之成为有状态的，因此，后面两种方案就成为现实的选择。具体来说cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。同时我们也看到，由于采用服务器端保持状态的方案在客户端也需要保存一个标识，所以session机制可能需要借助于cookie机制来达到保存标识的目的，但实际上它还有其他选择。

三、理解session机制

session机制是一种服务器端的机制，服务器使用一种类似于散列表的结构（也可能就是使用散列表）来保存信息。

当程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端的请求里是否已包含了一个session标识 - 称为session id，如果已包含一个session id则说明以前已经为此客户端创建过session，服务器就按照session id把这个session检索出来使用（如果检索不到，可能会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id，session id的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串，这个session id将被在本次响应中返回给客户端保存。

四、保存session id的几种方式

1、cookie：保存这个session id的方式可以采用cookie，这样在交互过程中浏览器可以自动的按照规则把这个标识发挥给服务器。一般这个cookie的名字都是类似于SEEESIONID，比如weblogic对于web应用程序生成的cookie，

JSESSIONID=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764，它的名字就是JSESSIONID。

2、URL重写：由于cookie可以被人为的禁止，必须有其他机制以便在cookie被禁止时仍然能够把session id传递回服务器。经常被使用的一种技术叫做URL重写，就是把session id直接附加在URL路径的后面，附加方式也有两种，一种是作为URL路径的附加信息，表现形式为http://...../xxx;jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764另一种是作为查询字符串附加在URL后面，表现形式为http://...../xxx?jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764

这两种方式对于用户来说是没有区别的，只是服务器在解析的时候处理的方式不同，采用第一种方式也有利于把session id的信息和正常程序参数区分开来。为了在整个交互过程中始终保持状态，就必须在每个客户端可能请求的路径后面都包含这个session id。

缺点：对所有的URL使用URL重写，包括超链接，form的action，和重定向的URL。每个引用你的站点的URL，以及那些返回给用户的URL(即使通过间接手段，比如服务器重定向中的Location字段)都要添加额外的信息。这意味着在你的站点上不能有任何静态的HTML页面(至少静态页面中不能有任何链接到站点动态页面的链接)。因此，每个页面都必须使用servlet或JSP动态生成。即使所有的页面都动态生成，如果用户离开了会话并通过书签或链接再次回来，会话的信息都会丢失，因为存储下来的链接含有错误的标识信息－该URL后面的SESSION ID已经过期了。

　　3、表单隐藏字段：另一种技术叫做表单隐藏字段。就是服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时能够把session id传递回服务器。比如下面的表单

     缺点：仅当每个页面都是有表单提交而动态生成时，才能使用这种方法。单击常规的<A HREF..>超文本链接并不产生表单提交，因此隐藏的表单域不能支持通常的会话跟踪，只能用于一系列特定的操作中，比如在线商店的结账过程
　　

这种技术现在已较少应用，笔者接触过的很古老的iPlanet6(SunONE应用服务器的前身)就使用了这种技术。实际上这种技术可以简单的用对action应用URL重写来代替。

　　在谈论session机制的时候，常常听到这样一种误解“只要关闭浏览器，session就消失了”。其实可以想象一下会员卡的例子，除非顾客主动对店家提出销卡，否则店家绝对不会轻易删除顾客的资料。对session来说也是一样的，除非程序通知服务器删除一个session，否则服务器会一直保留，程序一般都是在用户做log off的时候发个指令去删除session。然而浏览器从来不会主动在关闭之前通知服务器它将要关闭，因此服务器根本不会有机会知道浏览器已经关闭，之所以会有这种错觉，是大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接服务器时也就无法找到原来的session。如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求头，把原来的session id发送给服务器，则再次打开浏览器仍然能够找到原来的session。

　　恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为seesion设置了一个失效时间，当距离客户端上一次使用session的时间超过这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。

五、理解javax.servlet.http.HttpSession

　　HttpSession是Java平台对session机制的实现规范，因为它仅仅是个接口，具体到每个web应用服务器的提供商，除了对规范支持之外，仍然会有一些规范里没有规定的细微差异。这里我们以BEA的Weblogic Server8.1作为例子来演示。

　　首先，Weblogic Server提供了一系列的参数来控制它的HttpSession的实现，包括使用cookie的开关选项，使用URL重写的开关选项，session持久化的设置，session失效时间的设置，以及针对cookie的各种设置，比如设置cookie的名字、路径、域，cookie的生存时间等。

　　一般情况下，session都是存储在内存里，当服务器进程被停止或者重启的时候，内存里的session也会被清空，如果设置了session的持久化特性，服务器就会把session保存到硬盘上，当服务器进程重新启动或这些信息将能够被再次使用，WeblogicServer支持的持久性方式包括文件、数据库、客户端cookie保存和复制。

　　复制严格说来不算持久化保存，因为session实际上还是保存在内存里，不过同样的信息被复制到各个cluster内的服务器进程中，这样即使某个服务器进程停止工作也仍然可以从其他进程中取得session。

　　cookie生存时间的设置则会影响浏览器生成的cookie是否是一个会话cookie。默认是使用会话cookie。有兴趣的可以用它来试验我们在第四节里提到的那个误解。

　　cookie的路径对于web应用程序来说是一个非常重要的选项，Weblogic Server对这个选项的默认处理方式使得它与其他服务器有明显的区别。后面我们会专题讨论。

　　关于session的设置参考[5]http://e-docs.bea.com/wls/docs70/webapp/weblogic_xml.html#1036869

六、HttpSession常见问题

　　1、session在何时被创建

　　一个常见的误解是以为session在有客户端访问时就被创建，然而事实是直到某server端程序调用HttpServletRequest.getSession(true)这样的语句时才被创建，注意如果JSP没有显示的使用 <%@pagesession="false"%> 关闭session，则JSP文件在编译成Servlet时将会自动加上这样一条语句HttpSession session = HttpServletRequest.getSession(true);这也是JSP中隐含的session对象的来历。

　　由于session会消耗内存资源，因此，如果不打算使用session，应该在所有的JSP中关闭它。

　　2、session何时被删除

A、综合前面的讨论，session在下列情况下被删除a.程序调用HttpSession.invalidate();

B、.距离上一次收到客户端发送的session id时间间隔超过了session的超时设置;

C、服务器进程被停止（非持久session）

     

      注：关闭浏览器只会使存储在客户端浏览器内存中的session cookie失败，不会使服务器端的session对象失败。

　　3、如何做到在浏览器关闭时删除session

　　严格的讲，做不到这一点。可以做一点努力的办法是在所有的客户端页面里使用javascript代码window.oncolose来监视浏览器的关闭动作，然后向服务器发送一个请求来删除session。但是对于浏览器崩溃或者强行杀死进程这些非常规手段仍然无能为力。

　　4、有个HttpSessionListener是怎么回事

　　你可以创建这样的listener去监控session的创建和销毁事件，使得在发生这样的事件时你可以做一些相应的工作。注意是session的创建和销毁动作触发listener，而不是相反。类似的与HttpSession有关的listener还有HttpSessionBindingListener，HttpSessionActivationListener和HttpSessionAttributeListener。

　　5、存放在session中的对象必须是可序列化的吗

　　不是必需的。要求对象可序列化只是为了session能够在集群中被复制或者能够持久保存或者在必要时server能够暂时把session交换出内存。在Weblogic Server的session中放置一个不可序列化的对象在控制台上会收到一个警告。我所用过的某个iPlanet版本如果session中有不可序列化的对象，在session销毁时会有一个Exception，很奇怪。

　　6、如何才能正确的应付客户端禁止cookie的可能性

　　对所有的URL使用URL重写，包括超链接，form的action，和重定向的URL，具体做法参见http://e-docs.bea.com/wls/docs70/webapp/sessions.html#100770

　　7、如何防止用户打开两个浏览器窗口操作导致的session混乱

　　这个问题与防止表单多次提交是类似的，可以通过设置客户端的令牌来解决。就是在服务器每次生成一个不同的id返回给客户端，同时保存在session里，客户端提交表单时必须把这个id也返回服务器，程序首先比较返回的id与保存在session里的值是否一致，如果不一致则说明本次操作已经被提交过了。可以参看《J2EE核心模式》关于表示层模式的部分。需要注意的是对于使用javascriptwindow.open打开的窗口，一般不设置这个id，或者使用单独的id，以防主窗口无法操作，建议不要再window.open打开的窗口里做修改操作，这样就可以不用设置。

9、为什么在Weblogic Server中改变session的值后要重新调用一次session.setValue

*************************************************************************************

做这个动作主要是为了在集群环境中提示Weblogic Server session中的值发生了改变，需要向其他服务器进程复制新的session值。

*************************************************************************************

10、为什么session不见了

*************************************************************************************

　　排除session正常失效的因素之外，服务器本身的可能性应该是微乎其微的，虽然笔者在iPlanet6SP1加若干补丁的Solaris版本上倒也遇到过；浏览器插件的可能性次之，笔者也遇到过3721插件造成的问题；理论上防火墙或者代理服务器在cookie处理上也有可能会出现问题。

　　出现这一问题的大部分原因都是程序的错误，最常见的就是在一个应用程序中去访问另外一个应用程序。我们在下一节讨论这个问题。

*************************************************************************************

11、会话跟踪的基本步骤
*************************************************************************************
1．访问与当前请求相关的会话对象
2．查找与会话相关的信息
3．存储会话信息
4．废弃会话数据
*************************************************************************************

12、getSession()/getSession(true)、getSession(false)的区别
*************************************************************************************
getSession()/getSession(true)：当session存在时返回该session，否则新建一个session并返回该对象
getSession(false)：当session存在时返回该session，否则不会新建session，返回null
*************************************************************************************

13、如何将信息于会话关联起来
*************************************************************************************
　　setAttribute会替换任何之前设定的值；如果想要在不提供任何代替的情况下移除某个值，则应使用removeAttribute。这个方法会触发所有实现了HttpSessionBindingListener接口的值的valueUnbound
方法。
*************************************************************************************

14、会话属性的类型有什么限制吗
*************************************************************************************
通常会话属性的类型只要是Object就可以了。除了null或基本类型，如int,double,boolean。
如果要使用基本类型的值作为属性，必须将其转换为相应的封装类对象
*************************************************************************************

15、如何废弃会话数据
*************************************************************************************
A．只移除自己编写的servlet创建的数据：
    调用removeAttribute(“key”)将指定键关联的值废弃
B．删除整个会话(在当前Web应用中)：
    调用invalidate，将整个会话废弃掉。这样做会丢失该用户的所有会话数据，而非仅仅由我们
servlet或JSP页面创建的会话数据
C．将用户从系统中注销并删除所有属于他(或她)的会话
    调用logOut，将客户从Web服务器中注销，同时废弃所有与该用户相关联的会话(每个Web应用至多一个)。这个操作有可能影响到服务器上多个不同的Web应用
*************************************************************************************

16、使用isNew来判断用户是否为新旧用户的错误做法
*************************************************************************************
public boolean isNew()方法如果会话尚未和客户程序(浏览器)发生任何联系，则这个方法返回true，这一般是因为会话是新建的，不是由输入的客户请求所引起的。
但如果isNew返回false，只不过是说明他之前曾经访问该Web应用，并不代表他们曾访问过我们的servlet或JSP页面。
因为session是与用户相关的，在用户之前访问的每一个页面都有可能创建了会话。因此isNew为false只能说用户之前访问过该Web应用，session可以是当前页面创建，也可能是由用户之前访问过的页面创建的。
正确的做法是判断某个session中是否存在某个特定的key且其value是否正确
*************************************************************************************

17、Cookie的过期和Session的超时有什么区别
*************************************************************************************
会话的超时由服务器来维护，它不同于Cookie的失效日期。首先，会话一般基于驻留内存的cookie
不是持续性的cookie，因而也就没有截至日期。即使截取到JSESSIONID cookie，并为它设定一个失效日期发送出去。浏览器会话和服务器会话也会截然不同。
*************************************************************************************

18、session cookie和session对象的生命周期是一样的吗
*************************************************************************************
当用户关闭了浏览器虽然session cookie已经消失，但session对象仍然保存在服务器端
*************************************************************************************

19、是否只要关闭浏览器，session就消失了
*************************************************************************************
程序一般都是在用户做log off的时候发个指令去删除session，然而浏览器从来不会主动在关闭之前通知服务器它将要被关闭，因此服务器根本不会有机会知道浏览器已经关闭。服务器会一直保留这个会话对象直到它处于非活动状态超过设定的间隔为止。
之所以会有这种错误的认识，是因为大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接到服务器时也就无法找到原来的session。
如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求报头，把原来的session id发送到服务器，则再次打开浏览器仍然能够找到原来的session。
恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为session设置了一个失效时间，当距离客户上一次使用session的时间超过了这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。
　　由此我们可以得出如下结论：
　　关闭浏览器，只会是浏览器端内存里的session cookie消失，但不会使保存在服务器端的session对象消失，同样也不会使已经保存到硬盘上的持久化cookie消失。
*************************************************************************************

20、打开两个浏览器窗口访问应用程序会使用同一个session还是不同的session
*************************************************************************************
通常sessioncookie是不能跨窗口使用的，当你新开了一个浏览器窗口进入相同页面时，系统会赋予你一个新的session id，这样我们信息共享的目的就达不到了。
此时我们可以先把session id保存在persistent cookie中(通过设置session的最大有效时间)，然后在新窗口中读出来，就可以得到上一个窗口的sessionid了，这样通过session cookie和persistent cookie的结合我们就可以实现了跨窗口的会话跟踪。
*************************************************************************************

21、如何使用会话显示每个客户的访问次数
*************************************************************************************
由于客户的访问次数是一个整型的变量，但session的属性类型中不能使用int，double，boolean等基本类型的变量，所以我们要用到这些基本类型的封装类型对象作为session对象中属性的值
　　但像Integer是一种不可修改(Immutable)的数据结构：构建后就不能更改。这意味着每个请求都必须创建新的Integer对象，之后使用setAttribute来代替之前存在的老的属性的值。例如：
HttpSession session = request.getSession();
SomeImmutalbeClass value =(SomeImmutableClass)session.getAttribute(“SomeIdentifier”);
if (value= =null){
     value = new SomeImmutableClass(…);　// 新创建一个不可更改对象
}else{
     value = new SomeImmutableClass(calculatedFrom(value));// 对value重新计算后创建新的对象
}
session.setAttribute(“someIdentifier”,value); // 使用新创建的对象覆盖原来的老的对象
*************************************************************************************

22、如何使用会话累计用户的数据
*************************************************************************************
使用可变的数据结构，比如数组、List、Map或含有可写字段的应用程序专有的数据结构。通过这种方式，除非首次分配对象，否则不需要调用setAttribute。例如

HttpSession session = request.getSession();
SomeMutableClass value =(SomeMutableClass)session.getAttribute(“someIdentifier”);
if(value = = null){
     value = new SomeMutableClass(…);
     session.setAttribute(“someIdentifier”,value);
}else{
    value.updateInternalAttribute(…);      // 如果已经存在该对象则更新其属性而不需重新设置属性
}
*************************************************************************************

23、不可更改对象和可更改对象在会话数据更新时的不同处理
*************************************************************************************
不可更改对象因为一旦创建之后就不能更改，所以每次要修改会话中属性的值的时候，都需要
调用setAttribute(“someIdentifier”,newValue)来代替原有的属性的值，否则属性的值不会被更新
可更改对象因为其自身一般提供了修改自身属性的方法，所以每次要修改会话中属性的值的时
候，只要调用该可更改对象的相关修改自身属性的方法就可以了。这意味着我们就不需要调
用setAttribute方法了

 

 

七、跨应用程序的session共享

　　常常有这样的情况，一个大项目被分割成若干小项目开发，为了能够互不干扰，要求每个小项目作为一个单独的web应用程序开发，可是到了最后突然发现某几个小项目之间需要共享一些信息，或者想使用session来实现SSO(single sign on)，在session中保存login的用户信息，最自然的要求是应用程序间能够访问彼此的session。

　　然而按照Servlet规范，session的作用范围应该仅仅限于当前应用程序下，不同的应用程序之间是不能够互相访问对方的session的。各个应用服务器从实际效果上都遵守了这一规范，但是实现的细节却可能各有不同，因此解决跨应用程序session共享的方法也各不相同。

　　首先来看一下Tomcat是如何实现web应用程序之间session的隔离的，从Tomcat设置的cookie路径来看，它对不同的应用程序设置的cookie路径是不同的，这样不同的应用程序所用的session id是不同的，因此即使在同一个浏览器窗口里访问不同的应用程序，发送给服务器的session id也可以是不同的。

　　根据这个特性，我们可以推测Tomcat中session的内存结构大致如下。

　　笔者以前用过的iPlanet也采用的是同样的方式，估计SunONE与iPlanet之间不会有太大的差别。对于这种方式的服务器，解决的思路很简单，实际实行起来也不难。要么让所有的应用程序共享一个session id，要么让应用程序能够获得其他应用程序的session id。

　　iPlanet中有一种很简单的方法来实现共享一个sessionid，那就是把各个应用程序的cookie路径都设为/（实际上应该是/NASApp，对于应用程序来讲它的作用相当于根）。

<session-info>
<path>/NASApp</path>
</session-info>

　　需要注意的是，操作共享的session应该遵循一些编程约定，比如在session attribute名字的前面加上应用程序的前缀，使得setAttribute("name","neo")变成setAttribute("app1.name","neo")，以防止命名空间冲突，导致互相覆盖。

　　在Tomcat中则没有这么方便的选择。在Tomcat版本3上，我们还可以有一些手段来共享session。对于版本4以上的Tomcat，目前笔者尚未发现简单的办法。只能借助于第三方的力量，比如使用文件、数据库、JMS或者客户端cookie，URL参数或者隐藏字段等手段。

　　我们再看一下Weblogic Server是如何处理session的。

　　从截屏画面上可以看到Weblogic Server对所有的应用程序设置的cookie的路径都是/，这是不是意味着在Weblogic Server中默认的就可以共享session了呢？然而一个小实验即可证明即使不同的应用程序使用的是同一个session，各个应用程序仍然只能访问自己所设置的那些属性。这说明WeblogicServer中的session的内存结构可能如下

　　对于这样一种结构，在session机制本身上来解决session共享的问题应该是不可能的了。除了借助于第三方的力量，比如使用文件、数据库、JMS或者客户端cookie，URL参数或者隐藏字段等手段，还有一种较为方便的做法，就是把一个应用程序的session放到ServletContext中，这样另外一个应用程序就可以从ServletContext中取得前一个应用程序的引用。示例代码如下，

　　应用程序A

context.setAttribute("appA", session);

　　应用程序B

contextA = context.getContext("/appA");
HttpSession sessionA = (HttpSession)contextA.getAttribute("appA");

　　值得注意的是这种用法不可移植，因为根据ServletContext的JavaDoc，应用服务器可以处于安全的原因对于context.getContext("/appA");返回空值，以上做法在Weblogic Server 8.1中通过。

　　那么Weblogic Server为什么要把所有的应用程序的cookie路径都设为/呢？原来是为了SSO，凡是共享这个session的应用程序都可以共享认证的信息。一个简单的实验就可以证明这一点，修改首先登录的那个应用程序的描述符weblogic.xml，把cookie路径修改为/appA访问另外一个应用程序会重新要求登录，即使是反过来，先访问cookie路径为/的应用程序，再访问修改过路径的这个，虽然不再提示登录，但是登录的用户信息也会丢失。注意做这个实验时认证方式应该使用FORM，因为浏览器和web服务器对basic认证方式有其他的处理方式，第二次请求的认证不是通过session来实现的。具体请参看[7] secion 14.8Authorization，你可以修改所附的示例程序来做这些试验。

　　八、总结

session机制本身并不复杂，然而其实现和配置上的灵活性却使得具体情况复杂多变。这也要求我们不能把仅仅某一次的经验或者某一个浏览器，服务器的经验当作普遍适用的经验，而是始终需要具体情况具体分析

 

HttpSession类

sevlet容器为httpsession分配一个唯一的标识，成为sessionid，容器会把sessionid放在客户端的cookies中，每次客户端发出http请求的时候，servlet可以把httprequest对象中读取sessionid。然后更具sessionid找到对应的session对象，从而取得客户端状态信息。

一、session的方法：

1、String getId()  session ID。此方法返回唯一的标识，当只有一个单一的值与一个session联合时，或当日志信息与先前的sessions有关时，它被当作键名用。

2、voidsetAttribute(String name,　Object value)  设置session对象保存一对name、value对象 

3、ObjectgetAttribute(String name)   将会话中一个对象保存为指定名字，返回或删除前面保存的此名称对象。

4、longgetCreationTime();   返回表示会话创建和最后访问日期和时间的一个长整型，该整型形式为java.util.Date()构造器中使用的形式。最小单位为千分之一秒。为得到一个对打印输出很有用的值，可将此值传给Date constructor 或者GregorianCalendar的方法setTimeInMillis。

 5、long getLastAccessedTime()　返回session最后被客户发送的时间。最小单位为千分之一秒  

 6、boolean isNew()   如果客户端仍未加入到会话，返回true。当会话首次被创建，会话ID被传入客户端，但客户端仍未进行包含此会话ID的第二次请示时，返回true

7、EnumerationgetAttributeNames()      返回捆绑到当前会话的所有属性名的枚举值。

8、intgetMaxInactiveInterval()如果没有与客户端发生交互，设置和返回会话存活的最大秒数。负值表示session永不会超时。  

9、voidremoveAttribute(String name)     删除session对象

废除sesion对象的方法：

1、voidsetMasInactiveInterval(int seconds)  通过设置最大不活动时间负值表示session永远不会超时。  

2、关闭客户端浏览器

3、调用session的invalidate（）方法

   voidinvalidate()      使得会话被终止，释放其中任意对象。   

如果客户端不支持cookies时，那么session的id号就不能保存，那么在java API中提出了一种跟踪session的方法，容器可以重写客户请求的url，把sessionid添加倒url中response.encodeurl("**.jsp");

Session 中保存和检索的信息不能是基本数据类型如 int, double等，而必须是java的相应的对象,如Integer, Double。

 

request.getSeesion(boolean）方法，一下子让我恍然大悟。这个方法里面传了一个boolean值，这个值如果是true，那么如果当前的request的session不可用，那么就创建新的会话，如果存在就返回当前的会话。如果参数是false，那么在request的当前会话不存在的时候就返回null。  

 

 

 

 

 

 

 

HttpSessionBindingListener

1、HttpSessionBindingListener接口介绍
      如果一个对象实现了HttpSessionBindingListener接口，当这个对象被绑定到Session中或者从session中被删除时，Servlet容器会通知这个对象，而这个对象在接收到通知后，可以做一些初始化或清除状态的操作。
     javax.servlet.http.HttpSessionBindingListener接口提供了以下方法：
     public void valueBound(HttpSessionBindingEvent event)
     当对象正在被绑定到Session中,Servlet容器调用这个方法来通知该对象。
     public void valueUnbound(HttpSessionBindingEventevent)
     当从Session中删除对象时，Servlet容器调用这个方法来实现了HttpSessionBindingListener接口的对象，而这个对象可以利用HttpSessionBindingEvent对象来访问与它相联系的HttpSession对象。     Javax.Servlet.http.HttpSessionBindingEvent类提供了以下两种方法。
      public HttpSessionBindingEvent(HttpSessionsession,java.lang.String name)
      public HttpSessionBindingEvent(HttpSessionsession,java.lang.string name,java.lang.Object value)
     上面两个构造一个事件对象，当一个对象被绑定到Session中或者从Session中被删除时，用这个事件对象来通知它。
     public java.lang.String getName()
     返回绑定到Session中或者从session中删除的属性的名字。
     public java.lang.Object getValue()
     返回添加、删除或替换的属性的值。如果属性被添加或者被删除，这个方法返回属性的值。如果属性被替换，这个方法返回属性先前的值。
     public HttpSession getSession()
     返回HttpSession对象。
2、在线人数统计程序：
      利用HttpSessionBindingListener接口，编写一个在线人数统计的等程序。当一个用户登陆时，添加Session到在线人名单中，当一个用户退出时或者Session超时时，从在线人名单中删除该用户。
在UserList这个类中，应用单件模式，向程序提供一个全局访问点

import java.util.Vector;
import java.util.Enumeration;

public class UserList
{
    private static final UserList userList = new UserList();
    private Vector v = new Vector();
    private UserList(){  //v = new Vector();  }
    public static UserList getInstance(){ return userList; }
    //将用户登陆ID保存到Vector中
    public void addUser(Object dlid) throws Exception
    {
        try{
           if ( dlid != null)
           {
              if (  v.indexOf(dlid) >= 0)//判断是否已经存在
                  return;                  
              //可能的操作
              Yhjbxx yh = new Yhjbxx();
              yh.SetYhjbxxDqzt(Integer.parseInt(dlid.toString()),"1");//改写数据库供其它应用读取。
              //添加登录ID
              v.addElement(dlid);
           }
        }
         catch(Exception ex)
        {
            Log.writeDebug(ex.toString());           
        }
        finally{
        }
    }
    /**
     * 判断是否存在会话
     */
    public boolean IsExist(Object dlid)throws Exception
    {
        try{
             if(  v.indexOf(dlid) >= 0)
                  returntrue;              
            returnfalse;
        }
        catch(Exception ex)
        {
            Log.writeDebug(ex.toString());
            returnfalse;
        }
    }
   
    //删除用户登录ID
    public void RemoveUser(Object dlid)throws Exception
    {
        try{
           if ( dlid != null)
           {  
             //修改数据库
              Yhjbxx yh = new Yhjbxx();
              yh.SetYhjbxxDqzt(Integer.parseInt(dlid.toString()),"");
             //移除用户登录ID
              v.removeElement(dlid);
           }
        }
        catch(Exception ex)
        {    
           Log.writeDebug(ex.toString()); //写日志
        }
        finally{
        }
    }
    //返回Vector枚举
    public Enumeration getUserList()   { returnv.elements();}
    //返回在线人数
    public int getUserCount()  { return v.size();}
}

User 类实现了HttpSessionBindingListener接口，表示登录用户
import javax.servlet.http.HttpSessionBindingListener;
import javax.servlet.http.HttpSessionBindingEvent;
public class User implements HttpSessionBindingListener
{ 
    //用户登录ID
    private int dlid;
    private UserList u1 =UserList.getInstance();    
    public User(int dlid)  {  this.dlid =dlid;   }
    public User()   {   }
    public void setdlid(int v)  { this.dlid = v; }
    public int getdlid()   { return this.dlid; }
    //判断用户是否存在
    public boolean IsExist(int dlid)throws Exception
    {
        try
        {
            Object o =Integer.toString(dlid);
          return u1.IsExist(o);
        }
        catch(Exception ex)
        {
           Log.writeDebug(ex.toString());
            returnfalse;
        }
    }

    public void valueBound(HttpSessionBindingEventevent)
    { 
       try{
          Object o = Integer.toString(dlid);//(Object)dlid;
          u1.addUser(o);
      }
      catch(Exception ex)
      {
         Log.writeDebug(ex.toString());         
      }
    }
    public voidvalueUnbound(HttpSessionBindingEvent event)
    {
       try{
          Object o = Integer.toString(dlid);
          u1.RemoveUser(o);
       }
       catch(Exception ex)
       {
            Log.writeDebug(ex.toString());
       }
    }
}
//登录时添加会话：
User user = new User(y.getid());
session.setAttribute("user",user);  
//退出时删除会话：
User us = (User)session1.getAttribute("user");
  if ( us != null )
  {
   if ( us.IsExist(us.getdlid()))
       session1.invalidate();
  }
退出时删除会话并关闭浏览器Servelt

import javax.servlet.*;
import java.io.*;
import javax.servlet.http.*;

public classLogoutServlet extends HttpServlet
{
    public void doGet(HttpServletRequest req,HttpServletResponseresp)
               throws ServletException,IOException
    {  resp.setContentType("text/html;charset=gb2312");
        HttpSession session = req.getSession();
        User user =(User)session.getAttribute("user");
        session.invalidate();
        PrintWriter out = resp.getWriter();
        StringBuffer strbuffer = newStringBuffer();
       strbuffer.append("<body>");
        strbuffer.append("<scriptloaguage=\"javascript\">");
        strbuffer.append("varua=navigator.userAgent;");
        strbuffer.append("varie=navigator.appName==\"Microsoft Internet Explorer\"?true:false;");
       strbuffer.append("if(ie){");
        strbuffer.append("varIeversion=parseFloat(ua.substring(ua.indexOf(\"MSIE\")+5,ua.indexOf(\";\",ua.indexOf(\"MSIE\"))));");
       strbuffer.append("if(Ieversion< 5.5){");
        strbuffer.append(" var str = '<object id=noTipCloseclassid=\"clsid:ADB880A6-D8FF-11CF-9377-00AA003B7A11\">';");
        strbuffer.append("str +='<param name=\"Command\"value=\"Close\"></object>';");
       strbuffer.append("document.body.insertAdjacentHTML(\"beforeEnd\",str);");
       strbuffer.append("document.all.noTipClose.Click();");
        strbuffer.append(" }");
        strbuffer.append("else{");       
        strbuffer.append("window.opener= null;");
       strbuffer.append("window.close();");
        strbuffer.append("}");
        strbuffer.append("}");
        strbuffer.append("else{");
       strbuffer.append("window.close();");
       strbuffer.append("}");       
       strbuffer.append("</script>");
       strbuffer.append("</body>");
        out.print( strbuffer.toString());
    }