Cookie/Session机制

Cookie

个人总结：
目前项目里前端会把cookie会放在请求header头里，只是传输一种方式， 每次请求接口都会校验cookie里的用户信息是否正确

1. 用户登陆，前端点击url前端直接访问登录页，后端赋值cookie和过期时间，并且跳转默认页面
2. 访问网站，比如点击系统某个按钮，但是需要登录才能访问，(1)前端先进行校验，如果前端代码调用获取cookie为null（不存在），即cookie清除（没有进行首次登录或者手动清除浏览器缓存cookie信息都会为null），则前端直接跳转到登录页，登录页点击登录成功则赋值cookie和过期时间，并且跳转默认页面，(２)如果前端代码调用获取cookie为非null（存在），进入后端此时拦截器里先进行用户校验cookie里的用户信息是否与数据库（或者redis｛可以先查redis-查不到在查数据库，或者没有redis只查数据库｝）匹配，如果不匹配，即cookie过期，后端跳转到登录页， 如果匹配成功，则正常访问接口
3. 用户首次登录和数据库进行校验，记录到cookie中，以后每次访问都判断下cookie和数据库用户信息是否匹配
4. 怎么避免每次检查cookie都要查询数据库？其实，这个问题的核心问题应该是怎样 避免伪造cookie 只要别人无法伪造cookie就行了，但目前避免伪造的根本方法好像还是把cookie的值拿出来和数据库的值比对

Session机制

除了使用Cookie，Web应用程序中还经常使用Session来记录客户端状态。Session是服务器端使用的一种记录客户端状态的机制，使用上比Cookie简单一些，相应的也增加了服务器的存储压力

个人总结：
一般B端老的项目里应用

1. 用户登陆，前端点击url前端直接访问登录页，后端赋值session和过期时间，并且跳转默认页面
2. 访问网站，比如点击系统某个按钮，但是需要登录才能访问，此时拦截器里先进行用户校验，如果session不是空的，有此用户信息，则用户信息校验通过，可以正常访问接口， 如果校验不通过（session用户信息不存在），则后端直接跳转到登录页
3. 用户首次登录和数据库的校验一次后，记录到session中，以后就不用检测了，每次都判断下session是否存在这个用户信息就可以，不用再去数据库校验

什么是Session

• Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。这就是Session，客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了
• 如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份，Session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了

实现用户登录

• Session对应的类为javax.servlet.http.HttpSession类，每个来访者对应一个Session对象，所有该客户的状态信息都保存在这个Session对象里，Session对象是在客户端第一次请求服务器的时候创建的，Session也是一种key-value的属性对，通过getAttribute(Stringkey)和setAttribute(String key，Objectvalue)方法读写客户状态信息，Servlet里通过request.getSession()方法获取该客户的Session

Session的生命周期

• Session保存在服务器端，为了获得更高的存取速度，服务器一般把Session放在内存里。每个用户都会有一个独立的Session，如果Session内容过于复杂，当大量客户访问服务器时可能会导致内存溢出，因此，Session里的信息应该尽量精简
• Session在用户第一次访问服务器的时候自动创建，需要注意只有访问JSP、Servlet等程序时才会创建Session，只访问HTML、IMAGE等静态资源并不会创建Session，如果尚未生成Session，也可以使用request.getSession(true)强制生成Session，而springboot项目需要使用request.getSession(true)创建Session
• Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。用户每访问服务器一次，无论是否读写Session，服务器都认为该用户的Session“活跃（active）”了一次

Session的有效期

• 由于会有越来越多的用户访问服务器，因此Session也会越来越多。为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了

• Session的超时时间为maxInactiveInterval属性，可以通过对应的getMaxInactiveInterval()获取，通过setMaxInactiveInterval(longinterval)修改

• Session的超时时间也可以在web.xml中修改，另外，通过调用Session的invalidate()方法可以使Session失效

Session总结：

1. 当多个客户端执行程序时，服务器会保存多个客户端的Session，获取Session的时候也不需要声明获取谁的Session，Session机制决定了当前客户只会获取到自己的Session，而不会获取到别人的Session，各客户的Session也彼此独立，互不可见
2. 提示：Session的使用比Cookie方便，但是过多的Session存储在服务器内存中，会对服务器造成压力

暂定，待完善
参考：link1，link2