会话技术cookie和session

1、会话：一次会话中包含多次请求和响应。

        一次会话：浏览器第一次给服务器资源发送请求，会话建立，直到有一方断开为止

        会话跟踪：一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据。

2、功能：在一次会话的范围内的多次请求间，共享数据

3、会话跟踪方式：

        客户端技术：Cookie

        服务器端技术：Session

        令牌技术

Cookie：

        1、概念：客户端会话技术，将数据保存到客户端。

        2、使用步骤：

                1、创建Cookie对象，绑定数据

                        new Cookie(String name,String value)

                2、发送Cookie对象

                        response.addCookie(Cookie cookie)

                3、获取Cookie，拿到数据

                        Cookie[] request.getCookies()

        3、实现原理

                基于响应头set-cookie和请求头cookie实现

        4、cookie的细节

                1、一次可以发送多个cookie。可以创建多个cookie对象，使用response调用多次addcookie方法发送cookie即可。

                2、cookie在浏览器中的保存时间：

                        1、默认情况下，当浏览器关闭后，Cookie数据被销毁

                        2、持久化存储

                                setMaxAge(int seconds)

                                1、正数：将cookie数据写到硬盘的文件中。持久化存储。cookie存活时间。

                                2、负数：默认值

                                3.零：删除cookie信息

                3、cookie是否能存中文

                        在tomcat8之前，cookie中不能直接存储中文数据。需要将中文数据转码（一般采用URL编码）

                        在tomcat8之后，cookie支持中文数据。cookie不支持特殊字符，若是包含特殊字符需要先转码。例如：URL转码

//编码
String decode = URLEncoder.encode("login Time");
//解码
String decode1 = URLDecoder.decode(decode);

                4、cookie共享问题

                        1、在同一个服务器中，部署了多个web项目，这些项目之间的cookie如何共享

                                默认情况下cookie不能共享，可通过设置setPath实现：

                                setPath(String path):设置cookie的获取范围。默认情况下，设置为当前的虚拟目录。

                                如果要共享，则可以将path设置为"/"。

                        2、不同的tomcat服务器间cookie共享问题

                                setDomain(String path): 如果设置一级域名相同，那么多个服务器之间cookie可以共享。

                                setDomain(".baiducom"),那么tieba.baidu.com和news.baidu.com中cookie可以共享

        5、cookie的特点和作用

                1、cookie存储数据在客户端浏览器

                2、浏览器对于单个cookie的大小有限制，并且对同一域名下的总cookie数量也有限制

                优点：

                        HTTP协议中支持的技术

                缺点：

                       1、不安全，用户可以自己禁用Cookie

                        2、移动端APP无法使用Cookie

                        3、不能跨域

                作用：

                1、cookie一般用于存储少量的不太敏感的数据

                2、在不登录的情况下，完成服务器对客户端的身份识别

        

---

Session:

        1、概念：服务器端会话技术，在一次会话的多次请求间共享数据，将数据保存在服务器端的对象中。HttpSession

        2、步骤

                1、获取HttpSession对象：

                        HttpSession session=request.getSession()

                2、使用HttpSession对象：

                        Object getAttribute(String name)

                        void setAttribute(String name,Object value)

                        void removeAttribute(String name)

                HttpSession和共享域的区别：    

                1、session.setAttribute()和session.getAttribute()配对使用，作用域是整个会话期间，在所有的页面都使用这些数据的时候使用。

                2.request.setAttribute()和request.getAttribute()配对使用，作用域是请求和被请求页面之间。

参考博客

        3、原理：Session的实现是依赖于Cookie的

        4、细节

                1、但客户端关闭后，服务器不关闭，两次获取session默认情况下不是同一个。

                        如果要相同，则可以创建cookie，键为JSESSIONID，设置最大存活时间，让cookie持久化保存。

                2、客户端不关闭，服务器关闭后，两次获取的session不是同一个，但要保证数据不丢失。

                                session的钝化：在服务器正常关闭之前，将session对象系列化到硬盘上

                                session的活化：在服务器启动之后，将session文件转化为内存中的session对象即可。

                3、session默认失效时间为30分钟，也可在web.xml里修改失效时间

                        <session-config>

                        <session-timeout></session-timeout>

                        </session-config>

        5、session的特点

                1、session用于存储一次会话的多次请求的数据，存在服务器端，安全。

                2、session可以存储任意类型、任意大小的数据

               缺点：

                        1、服务器集群环境下无法直接使用Session

                        2、Cookie的缺点

       session和cookie的区别：

        1、session存储数据在服务器端，cookie在客户端

        2、session没有数据大小限制，cookie有

        3、session数据安全，cookie相对不安全

---

令牌技术：

        优点：

                1、支持PC端、移动端

                2、解决集群环境下的认证问题

                3、减轻服务器端存储压力

JWT:

        定义了一种简洁的、自包含的格式，用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在，这些信息是可靠的。头部和载荷部分经过base64编码，

        组成：

                第一部分：Header，记录令牌类型、签名算法等。例如：{alg=HS256，type="JWT"}

                第二部分：Payload (有效载荷)，携带一些自定义信息、默认信息等。例如：{liweier=123456, exp=1713942660}

                第三部分：Signature（签名），防止Token被篡改，确保安全性。将header、payload，并加入指定密钥，通过指定签名算法计算而来。

eyJhbGciOiJIUzI1NiJ9.eyJsaXdlaWVyIjoiMTIzNDU2IiwiZXhwIjoxNzEzOTQyNjYwfQ.em10vf9kAyRxjkUXgigigCB9mBKvGkpXaE8fSb98twQ

使用场景：登录认证

        1、登录成功后，生成令牌

        2、后续每个请求，都要携带jwt令牌，系统在每次请求处理之前，先校验令牌，通过后，在处理。

        1、导入jwt依赖

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

        2、生成JWT令牌（JWT依赖的版本不同，对密钥的长度的要求不同）

//密钥
private String signKey="this";
//有效时间
private Long time=60000L;
@Test
public void generateJwt() {
    Map<String,Object> name=new HashMap<>();
    name.put("liweier", "123456");
    String compact = Jwts.builder()
            .addClaims(name)
            .signWith(SignatureAlgorithm.HS256, signKey)
            .setExpiration(new Date(System.currentTimeMillis() + time))
            .compact();
    System.out.println(compact);
}

        3、JWT令牌校验

                JWT令牌校验时使用的签名密钥，必须和生成JWT令牌时使用的密钥是配套的。

                如果JWT令牌解析校验时报错，则说明JWT令牌被篡改或者失效了，令牌非法。

@Test
public void parserJwt(){
    Jws<Claims> claimsJws = Jwts.parser().setSigningKey(signKey)
            .parseClaimsJws("");//输入令牌
    System.out.println(claimsJws.getBody());
    System.out.println(claimsJws.getHeader());
}

public class JwtUtils {
    private static String signKey="itheima";
    private static Long time=60000L;

//    生成Jwt令牌
    public static String generateJwt(Map<String,Object> claim){
        String compact = Jwts.builder()
                .addClaims(claim)//载荷内容
                .signWith(SignatureAlgorithm.HS256, signKey)//指定签名算法以及密钥
                .setExpiration(new Date(System.currentTimeMillis() + time))//指定有效时间
                .compact();
        return compact;
    }
//    校验Jwt令牌
    public Claims parserJwt(String jwt){
        Claims claims = Jwts.parser()
                .setSigningKey(signKey)//指定签名密钥
                .parseClaimsJws(jwt)//解析令牌
                .getBody();//获取内容
        return claims;
    }
}