Cookie和Session

1. http请求：

HTTP 遵循经典的客户端-服务端模型，客户端打开一个连接以发出请求，然后等待直到收到服务器端响应。HTTP 是无状态协议，这意味着服务器不会在两个请求之间保留任何数据（状态）。此时就需要一种可以进行请求间数据传递的回话跟踪技术，这时Cookie和Session就上场了。

2. Cookie

HTTP Cookie（也叫 Web Cookie 或浏览器 Cookie）是服务器生成的，然后发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态。Cookie 使基于无状态的HTTP协议记录稳定的状态信息成为了可能。

3. Session

Session,即会话，当然，Cookie也是会话跟踪技术，不同的是Cookie保存在了客户端，而Session则是将会话状态保存在了服务器端。什么是"会话"？当服务器打来浏览器，从发出第一次请求开始，一直到最终关闭浏览器，就表示一次会话的完成。

3.1 Session工作原理
在服务器（Tomcat）系统中会为每个会话维护一个Session,不同的会话，对应不同的Session。那么，系统是如何各个Session对象呢？即是如何做到在同一会话过程中，一直使用的是同一个Session对象呢？
每个Session都是以Map形式管理的，这个Map称为Session列表。key值为一个32位的随机字符串，称为JSessionID,value为Session对象的引用。如下图所示：

3.2. 开始访问
当服务端第一次请求时，服务端会自动生成一个Map.Entry对象，key为某种算法生成的JSessionID，value为新创建的对象。

3.3.服务器生成并发送Cookie

当用户第一次请求时，服务器包装了一个Cookie，Cookie的name是JSessionID,value就是这32位长度的字符串。服务器使用 Set-Cookie 响应头部向用户代理（一般是浏览器）发送 Cookie信息。一个简单的 Cookie 可能像这样：

3.4.客户端接收并发送Cookie
客户端收到这个Cookie后将将其保存在缓存中，只要浏览器不关闭，就不会消失。
当用户第二次提交时，就将缓存中的Cookie伴随着请求头部的信息，一起发送到服务器。

3.5.从Session列表中查找
服务器通过读取请求头中的Cookie信息，获取名称为JSESSIONID的值，从Map中查找响应的key对应的value,即Session对象。然后，对Session对象的域属性 读写操作。

参考：
Cookie
Session