Session原理

大家都知道session是web中在服务器端保存用户状态的一种方式，但归根结底，http协议本身属于无状态协议，session到底是怎么搞出来的呢，其实服务端维护session用到了两中方式：

　　1.cookie保存sessionid,在浏览器支持cookie的情况下，服务端一般首选这种方式，在用户请求有状态的服务端时，服务端会写如客户端cookie中一个jsessionid(在tomcat中是这样，其他服务器也类似)，这里会有一个服务端生成的session id 用来保存这次会话的id编号，服务端维护了一个session池，这个池是有时间限制的，一般可以在web.xml中配置session-config选项中的，session-timeout,这样客户端在每次请求中代上服务端分配的sessionid,服务端自然知道是那个用户了，从而达到维护客户端状态的目的。

　　2.服务端考虑到如果客户端浏览器不支持cookie，那么采取了一种叫做url rewrite的技术，这种方式体现在，用户在请求服务端时，会在用户请求的url后边加入;jsessionid=XXXXXXX,这样的参数，效果与存入cookie一样，还是通过客户端记录sessionid编号来维护客户端状态。

　　所以，有状态的 web session就是这样被实现的，但是在并发量大，集群的环境中使用session可能消耗服务端很大的资源，所以尽量在session里少存入信息.

补充:客户端COOKIE又分为进程COOKIE和持久COOKIE，简单点说就是COOKIE要么保存在浏览器进程中，随浏览器关闭而消失，要么保存在客户端本地文件中。具体采用哪种保存方式，由服务端决定。一般在SERVLET中使用javax.servlet.http.Cookie的setMaxAge()来决定是进程COOKIE还是持久COOKIE。在TOMCAT中，TOMCAT创建了jsessionid这个COOKIE，并且设置setMaxAge(-1),也就是说TOMCAT下jsessionid的COOKEI是进程COOKIE，在客户端本地是看不到这个COOKIE文件的。