Cookie和Session

会话：用户打开浏览器，访问web服务器的资源，会话建立，直到有一方连接断开，会话结束，在一次会话中可以包含多个请求和响应

会话跟踪：一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据

HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求，会话跟踪技术就是为了解决这一问题的判断是否来自同一个会话

客户端会话跟踪技术：Cookie

服务端会话跟踪技术：Session

Cookie

Cookie：客户端会话跟踪技术，将数据保存在客户端，以后每次请求都携带Cookie数据进行访问

发送Cookie

创建Cookie对象，设置数据

Cookie cookie = new Cookie("key","value")

发送Cookie到客户端，使用response 对象 

response.addCookie(cookie)

获取Cookie

获取客户端携带的所有Cookie，使用request对象

Cookie[] cookies = request.getCookies();

遍历数组，获取每个Cookie对象 

for(Cookie cookie :cookies){
   String name =  cookie.getName();
	String value = cookie.getValue();
}

Cookie的实现原理

Cookie的实现是基于HTTP协议的

响应头：set-Cookie

请求头：cookie

a资源响应到浏览器当中，浏览器再携带cookie数据，请求b资源

Cookie存活时间

默认情况下，Cookie存储在浏览器当中，浏览器关闭，Cookie也被销毁了

setMaxAge：设置Cookie存活时间

Session

将数据存储到服务端

JavaEE提供了HttpSession接口，来实现一次会话的多次请求间数据共享功能

浏览器先请求a资源，a资源将数据传到session域当中，再请求b资源，b资源再获取数据

浏览器的两次请求，两个资源共享数据

获取Session对象

HttpSession session = request.getSession();

Session对象的功能

void setAttribute(String name,Object o)//存储数据到session域当中

Object getAttribute(String name)//根据key获得值

void removeAttribute(String name)//根据key删除键值对

Session的原理

要保证共享数据，就要保证获取的是同一个session对象

Session是基于cookie实现的

当获取session时，也会获取session的id，并且a资源会把session的id当作一个cookie响应给浏览器，浏览器存储起来，浏览器再携带session的id请求b资源，当b资源使用到session时，会现在内存中查看有没有id符合的session，如果有就是同一个，如果没有就获取新的。

Session的活化，钝化

服务器重启后，session的数据还存在

钝化：服务器关闭后，Tomcat会自动把session数据写到硬盘当中

活化：再次启动服务器后，从文件加载数据到session，把文件删除

Session的销毁

在web.xml中配置文件

默认30分钟无操作，自动销毁

<session-config>
<session-timeout>30</session-timeout>
</session-config>

调用invalidate()方法

session.invalidate()

总结

区别：

• 存储位置：Cookie是存储在浏览器当中，Sessino存储在服务器当中
• 安全性：Cookie不安全，Session安全
• 数据大小：Cookie可存储3kb，Session无大小限制
• 存储时间：Cookie可以长期存储，Session默认30分钟
• 服务器性能：Cookie不占用服务器资源，Session占用服务器资源