Cookie和Session学习总结

会话（Session）跟踪是Web程序中常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie与Session。Cookie通过在客户端记录信息确定用户身份，Session通过在服务器端记录信息确定用户身份。

一、Cookie

1.1 什么是 Cookie?

1、Cookie 翻译过来是饼干的意思。
2、Cookie 是服务器通知客户端保存键值对的一种技术。
3、客户端有了 Cookie 后，每次请求都发送给服务器。
4、每个 Cookie 的大小不能超过 4kb

Cookie实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客 户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务 器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

1.2 Cookie的创建

Cookie的处理分为：

服务器像客户端发送cookie
浏览器将cookie保存
之后每次http请求浏览器都会将cookie发送给服务器端

发送cookie

• 服务器端像客户端发送Cookie是通过HTTP响应报文实现的，在Set-Cookie中设置需要像客户端发送的cookie，cookie格式如下：

• Set-Cookie: "name=value;domain=.domain.com;path=/;expires=Sat, 11 Jun 2016 11:29:42 GMT;HttpOnly;secure"其中name=value是必选项，其它都是可选项。Cookie的主要构成如下：

• name:一个唯一确定的cookie名称。通常来讲cookie的名称是不区分大小写的。

• value:存储在cookie中的字符串值。最好为cookie的name和value进行url编码

• domain:cookie对于哪个域是有效的。所有向该域发送的请求中都会包含这个cookie信息。这个值可以包含子域(如：yq.aliyun.com)，也可以不包含它(如：.aliyun.com，则对于aliyun.com的所有子域都有效).

• path: 表示这个cookie影响到的路径，浏览器跟会根据这项配置，像指定域中匹配的路径发送cookie。

• expires:失效时间，表示cookie何时应该被删除的时间戳(也就是，何时应该停止向服务器发送这个cookie)。如果不设置这个时间戳，浏览器会在页面关闭时即将删除所有cookie；不过也可以自己设置删除时间。这个值是GMT时间格式，如果客户端和服务器端时间不一致，使用expires就会存在偏差。

• max-age: 与expires作用相同，用来告诉浏览器此cookie多久过期（单位是秒），而不是一个固定的时间点。正常情况下，max-age的优先级高于expires。

• HttpOnly: 告知浏览器不允许通过脚本document.cookie去更改这个值，同样这个值在document.cookie中也不可见。但在http请求张仍然会携带这个cookie。注意这个值虽然在脚本中不可获取，但仍然在浏览器安装目录中以文件形式存在。这项设置通常在服务器端设置。

• secure: 安全标志，指定后，只有在使用SSL链接时候才能发送到服务器，如果是http链接则不会传递该信息。就算设置了secure 属性也并不代表他人不能看到你机器本地保存的 cookie 信息，所以不要把重要信息放cookie就对了服务器端设置

protected void createCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //1 创建Cookie对象
    Cookie cookie = new Cookie("key1","value1");
    //2 通知客户端保存Cookie
    resp.addCookie(cookie);
    //1 创建Cookie对象
    Cookie cookie1 = new Cookie("key2","value2");
    //2 通知客户端保存Cookie
    resp.addCookie(cookie1);
    resp.getWriter().write("Cookie创建成功");
}

1.2 服务器解析cookie

服务器获取客户端的 Cookie 只需要一行代码：req.getCookies():Cookie[]

Cookie的工具类：

public class CookieUtils {
    /**
     * 找到指定名称的Cookie对象
     * @param name
     * @param cookies
     * @return
     */
    public static Cookie findCookie(String name,Cookie[] cookies){
        if(name == null || cookies == null || cookies.length == 0){
            return null;
        }
        for (Cookie cookie : cookies) {
            if(name.equals(cookie.getName())){
                return cookie;
            }
        }
        return null;
    }
}

Servlet 程序中的代码：

    protected void getCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie[] cookies = req.getCookies();
        for(Cookie cookie : cookies){
            // getName 方法返回 Cookie 的 key （名）
            // getValue 方法返回 Cookie 的 value 值
            resp.getWriter().write("cookie["+cookie.getName()+","+cookie.getValue()+"]<br/>");
        }

        Cookie iWantCookie = CookieUtils.findCookie("key2",req.getCookies());
        // 如果不等于 null ，说明赋过值，也就是找到了需要的 Cookie
        if(iWantCookie != null){
            resp.getWriter().write("找到需要的cookie");
        }
    }

1.3 Cookie值的修改

1. 方法一：

    1、先创建一个要修改的同名（指的就是key）的Cookie 对象
    2、在构造器，同时赋于新的 Cookie 值。
    3、调用response.addCookie(Cookie);
   

   protected void updateCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
   //        方案一：
   //        1、先创建一个要修改的同名的Cookie对象
   //        2、在构造器，同时赋于新的Cookie值。
       Cookie cookie = new Cookie("key1","newValue1");
   //        3、调用response.addCookie( Cookie ); 通知 客户端 保存修改
       resp.addCookie(cookie);
       resp.getWriter().write("key1的Cookie已经修改好");
       
   }
   

2. 方法二：

    1、先查找到需要修改的 Cookie 对象
    2、调用 setValue()方法赋于新的 Cookie 值。
    3、调用 response.addCookie()通知客户端保存修改
   

   protected void updateCookie(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
       //方案二：
       //1、先查找到需要修改的Cookie对象
       Cookie cookie = CookieUtils.findCookie("key2",req.getCookies());
       if(cookie != null){
           System.out.println("进行了修改操作");
           //2、调用setValue()方法赋于新的Cookie值。
           cookie.setValue("newValue2");
           //3、调用response.addCookie()通知客户端保存修改
           resp.addCookie(cookie);
       }
       resp.getWriter().write("key2的Cookie已经修改好");
   }
   

   public class CookieUtils {
       public static Cookie findCookie(String name,Cookie[] cookies){
           if(name == null || cookies == null || cookies.length == 0){
               return null;
           }
           for (Cookie cookie : cookies) {
               if(name.equals(cookie.getName())){
                   return cookie;
               }
           }
           return null;
       }
   }
   

1.4 Cookie生命控制

• Cookie 的生命控制指的是如何管理 Cookie 什么时候被销毁（删除）
• Cookie可以保持登录信息到用户下次与服务器的会话，换句话说，下次访问同一网站时，用户会发现不必输入用户名和密码就已经登录了（当然，不排除用户手工删除Cookie）。而还有一些Cookie在用户退出会话的时候就被删除了，这样可以有效保护个人隐私。
• Cookie在生成时就会被指定一个Expire值，这就是Cookie的生存周期，在这个周期内Cookie有效，超出周期Cookie就会被清除。有些页面将Cookie的生存周期设置为“0”或负值，这样在关闭浏览器时，就马上清除Cookie，不会记录用户信息，更加安全。
  

Cookie的maxAge决定着Cookie的有效期，单位为秒（Second）。Cookie中通过getMaxAge()方法与setMaxAge(int maxAge)方法来读写maxAge属性。

setMaxAge(int maxAge)
	正数，表示在指定的秒数后过期。无论客户关闭了浏览器还是电脑，只要还在maxAge秒之前，登录网站时该Cookie仍然有效
	负数，表示浏览器一关，Cookie 就会被删除（默认值是-1）
	零，表示马上删除 Cookie

代码示例：

    /**
     * 设置存活 1 个小时的 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void life3600(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("life3600","life3600");
        cookie.setMaxAge(60*60);//设置cookie一小时之后被删除，无效
        resp.addCookie(cookie);
        resp.getWriter().write("已经创建一个存活一小时的Cookie");
    }

    /**
     * 马上删除一个 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void deleteNow(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //先找到要删除的Cookie对象
        Cookie cookie = CookieUtils.findCookie("key2",req.getCookies());
        if(cookie != null){
            //调用setMaxAge(0);
            cookie.setMaxAge(0);//表示马上删除，不予要等待浏览器关闭
            //调用response.addCookie(cookie);
            resp.addCookie(cookie);
            resp.getWriter().write("key2的Cookie已经被删除");
        }
    }

    /**
     * 默认的会话级别的 Cookie
     * @param req
     * @param resp
     * @throws ServletException
     * @throws IOException
     */
    protected void defaultLife(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("default","defaultLife");
        cookie.setMaxAge(-1);//设置存活时间
        resp.addCookie(cookie);
    }

1.5 Cookie有效路径Path的设置

Cookie 的 path 属性可以有效的过滤哪些 Cookie 可以发送给服务器。哪些不发。
path 属性是通过请求的地址来进行有效的过滤。

CookieA path=/工程路径
CookieB path=/工程路径/abc
请求地址如下：
	http://ip:port/工程路径/a.html
	CookieA 发送
	CookieB 不发送
	
	http://ip:port/工程路径/abc/a.html
	CookieA 发送
	CookieB 发送

cookie可以设置不同的域与路径，所以对于同一个name value，在不同域不同路径下是可以重复的，浏览器会按照与当前请求url或页面地址最佳匹配的顺序来排定先后顺序

代码示例：

    protected void testPath(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Cookie cookie = new Cookie("path1","path1");
        //getContextPath() ===>>> 得到工程路径
        cookie.setPath(req.getContextPath()+"/abc");
        resp.addCookie(cookie);
        resp.getWriter().write("创建了一个带有Path路径的Cookie");
    }

二、Session会话

2.1 什么是Session会话?

1、Session 就一个接口（HttpSession）。
2、Session 就是会话。它是用来维护一个客户端和服务器之间关联的一种技术。
3、每个客户端都有自己的一个 Session 会话。
4、Session 会话中，我们经常用来保存用户登录之后的信息。

Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

2.2 如何创建Session和获取(id号, 是否为新)

如何创建和获取 Session。它们的 API 是一样的。

request.getSession()

第一次调用是：创建 Session 会话
之后调用都是：获取前面创建好的 Session 会话对象。

isNew(); 判断到底是不是刚创建出来的（新的）

true 表示刚创建
false 表示获取之前创建

每个会话都有一个身份证号。也就是 ID 值。而且这个 ID 是唯一的。
getId() 得到 Session 的会话 id 值。

protected void createOrGetSession(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //创建和获取Session会话对象
    //第一次调用是：创建 Session 会话
    //之后调用都是：获取前面创建好的 Session 会话对象。
    HttpSession session = req.getSession();
    //判断 当前session会话，是否是新创建出来的
    boolean isNew = session.isNew();
    //获取session会话的唯一标识id
    String id = session.getId();

    resp.getWriter().write("得到的Session，它的id是：" + id + " <br /> ");
    resp.getWriter().write("这个Session是否是新创建的：" + isNew + " <br /> ");
}

当多个客户端执行程序时，服务器会保存多个客户端的Session。获取Session的时候也不需要声明获取谁的Session。Session机制决定了当前客户只会获取到自己的Session，而不会获取到别人的Session。各客户的Session也彼此独立，互不可见。

2.3 Session 域数据的存取

Session也是一种key-value的属性对，通过getAttribute(Stringkey)和setAttribute(String key，Objectvalue)方法读写客户状态信息

代码示例：

/**
 * 在session中保存数据
 * @param req
 * @param resp
 * @throws ServletException
 * @throws IOException
 */
protected void setAttribute(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    req.getSession().setAttribute("key1","value1");
    resp.getWriter().write("已经往session中保存了数据");
}


/**
 * 获取session与中的数据
 * @param req
 * @param resp
 * @throws ServletException
 * @throws IOException
 */
protected void getAttribute(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    Object attribute = req.getSession().getAttribute("key1");
    resp.getWriter().write("从Session中获取出key1的数据是：" + attribute);
}

2.4 Session生命周期控制

• public void setMaxInactiveInterval(int interval) 设置 Session 的超时时间（以秒为单位），超过指定的时长，Session就会被销毁。

    值为正数的时候，设定 Session 的超时时长。
    负数表示永不超时（极少使用）
  

• public int getMaxInactiveInterval()获取 Session 的超时时间

• public void invalidate() 让当前 Session 会话马上超时无效。

2.4.1 Session 默认的超时时长

Session默认的超时时间长为30分钟。
因为在Tomcat服务器的配置文件web.xml中默认有以下的配置，它就表示配置了当前Tomcat服务器下所有的Session超时配置默认时长为：30 分钟。

修改web工程，默认的Session的超时时长

如果说。你希望你的 web 工程，默认的 Session 的超时时长为其他时长。你可以在你自己的 web.xml 配置文件中做以上相同的配置。就可以修改你的 web 工程所有Seession的默认超时时长。

2.4.2 修改个别Session的超时时长

如果你想只修改个别 Session 的超时时长。就可以使用setMaxInactiveInterval(int interval)来进行单独的设置。

• session.setMaxInactiveInterval(int interval)单独设置超时时长。

设置session，3秒后超时代码：

protected void life3(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
    //先获取Session对象
    HttpSession session = req.getSession();
    //设置当前session3秒后超时
    session.setMaxInactiveInterval(3);
    resp.getWriter().write("当前Session已经设置为3秒后超时");
}

• Session 超时的概念介绍:
  

2.4.3 设置Session马上被超时

• invalidate()设置Session马上超时

Session 马上被超时示例：

    protected void deleteNow(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //先获取Session对象
        HttpSession session = req.getSession();
        //让session会话马上超时
        session.invalidate();

        resp.getWriter().write("Session已经设置为超时（无效）");
    }

2.5 浏览器和Session之间关联

Session 技术，底层其实是基于 Cookie 技术来实现的

虽然Session保存在服务器，对客户端是透明的，它的正常运行仍然需要客户端浏览器的支持。这是因为Session需要使用Cookie作为识别标志。HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一客户，因此服务器向客户端浏览器发送一个名为JSESSIONID 的Cookie，它的值为该Session的id（也就是HttpSession.getId()的返回值）。Session依据该Cookie来识别是否为同一用户。

该Cookie为服务器自动生成的，它的maxAge属性一般为-1，表示仅当前浏览器内有效，并且各浏览器窗口间不共享，关闭浏览器就会失效。因此同一机器的两个浏览器窗口访问服务器时，会生成两个不同的Session。但是由浏览器窗口内的链接、脚本等打开的新窗口（也就是说不是双击桌面浏览器图标等打开的窗口）除外。这类子窗口会共享父窗口的Cookie，因此会共享一个Session。

注意：新开的浏览器窗口会生成新的Session，但子窗口除外。子窗口会共用父窗口的Session。例如，在链接上右击，在弹出的快捷菜单中选择"在新窗口中打开"时，子窗口便可以访问父窗口的Session。

三、Cookies 和 Session的区别

Cookie和Session的区别（面试必备）

Cookie和Session的区别

好的博客：
好好了解一下Cookie(强烈推荐)
Session原理