Session知识点

会话较多用于网络上，TCP的三次握手就创建了一个会话，TCP关闭连接就是关闭会话。
在打开浏览器第一次请求该jsp的时候，服务器会自动为其创建一个session，并赋予其一个sessionID，发送给客户端的浏览器。以后客户端接着请求本应用中其他资源的时候，会自动在请求头上添加：（Cookie:JSESSIONID=客户端第一次拿到的session ID）。这样，服务器端在接到请求时候，就会收到session ID，并根据ID在内存中找到之前创建的session对象，提供给请求使用。
四个过程：1 建立tcp连接；2 发出请求文档；3 发出响应文档；4 释放tcp连接。
一个tcp会话可以有多次http请求。
关闭浏览器会让原来的session失效但并没有立刻死去，而是等待一定时间被服务器结束，打开浏览器又会新建新的session。
Session一般存储在服务器的内存中，Sessinon在用户访问第一次访问服务器时创建(注意只有访问JSP、Servlet等程序时才会创建Session，只访问HTML、IMAGE等静态资源并不会创建Session)。当然，强制生成Session可使用request.getSession(true)方法。

对Tomcat而言，Session是一块在服务器开辟的内存空间，其存储结构为ConcurrentHashMap（Session是Map类型！）

为什么需要Session？
析：Http协议是一种无状态协议，即每次服务端接收到客户端的请求时，都是一个全新的请求，服务器并不知道客户端的历史请求记录；
Session的主要目的就是为了弥补Http的无状态特性。简单的说，就是服务器可以利用session存储客户端在同一个会话期间的一些操作记录。

服务器如何判断客户端发送过来的请求是属于同一个会话？
答：用Session id区分，Session id相同的即认为是同一个会话，在Tomcat中Session id用JSESSIONID表示；
服务器、客户端Session id在其之间是如何传输的呢？
见https://www.cnblogs.com/-ROCKS/p/6108556.html
客户端每次的请求，tomcat如何查找某个Session对象（tomcat里存储了多个会话）？
析：在HashMap中查找对应的key为JSESSIONID的Session对象

session存在的问题：
安全性，session劫持；
增加服务器压力，因为session是直接存储在服务器的内存中的；
如果存在多台服务器的话，还存在session同步问题，当然如果只有一台tomcat服务器的话，也就没有session同步的事情了，然而现在一般的应用都会用到多台tomcat服务器，通过负载均衡，同一个会话有可能会被分配到不同的tomcat服务器，因此很可能出现session不一致问题；解决session同步问题，实际上主要是保证能够抽离出一块共享空间存放session信息，且这块空间不同的tomcat服务器都可以访问到；一般这块共享的空间可以是数据库，或者某台服务器的内存空间，甚至硬盘空间，或者客户端的cookie也是可以的；

page、request、session和application有什么区别？
析：page里的变量没法从index.jsp传递到test.jsp。只要页面跳转了，它们就不见了。
request里的变量可以跨越forward前后的两页。但是只要刷新页面，它们就重新计算了。
session和application里的变量一直在累加，开始还看不出区别，只要关闭浏览器，再次重启浏览器访问这页，session里的变量就重新计算了。
application里的变量一直在累加，除非你重启tomcat，否则它会一直变大。

参考：https://www.cnblogs.com/-ROCKS/p/6108556.html