HttpSession

session的机制：

http是无状态的协议，客户每次读取web页面时，服务器都打开新的会话，而且服务器也不会自动维护客户的上下文信息，那么要怎么才能实现会话跟踪呢？session就是一种保存上下文信息的机制，它是针对每一个用户的，变量的值保存在服务器端，通过sessionID来区分不同的客户,session是以cookie或URL重写为基础的，默认使用cookie来实现，系统会创造一个名为JSESSIONID的输出返回给客户端Cookie保存。

保存session id的几种方式：

1．保存session id的方式可以采用cookie，这样在交互过程中浏览器可以自动地按照规则把这个标识发送给服务器。

2．由于cookie可以被人为地禁止，必须有其它的机制以便在cookie被禁止时仍然能够把session id传递回服务器，经常采用的一种技术叫做URL重写，就是把session id附加在URL路径的后面，附加的方式也有两种：一种是作为URL路径的附加信息；另一种是作为查询字符串附加在URL后面。网络在整个交互过程中始终保持状态，就必须在每个客户端可能请求的路径后面都包含这个session id。

URL重写有什么缺点：
对所有的URL使用URL重写，包括超链接，form的action，和重定向的URL。每个引用你的站点的URL，以及那些返回给用户的URL(即使通过间接手段，比如服务器重定向中的Location字段)都要添加额外的信息。这意味着在你的站点上不能有任何静态的HTML页面(至少静态页面中不能有任何链接到站点动态页面的链接)。因此，每个页面都必须使用servlet或JSP动态生成。即使所有的页面都动态生成，如果用户离开了会话并通过书签或链接再次回来，会话的信息都会丢失，因为存储下来的链接含有错误的标识信息－该URL后面的SESSION ID已经过期了。

3．另一种技术叫做表单隐藏字段。就是服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时能够把session id传递回服务器。

使用隐藏的表单域有什么缺点：
仅当每个页面都是有表单提交而动态生成时，才能使用这种方法。单击常规的<A HREF..>超文本链接并不产生表单提交，因此隐藏的表单域只能用于一系列特定的操作中，比如在线商店的结账过程。

session在下列情况下被删除：

A．程序调用HttpSession.invalidate()
B．距离上一次收到客户端发送的session id时间间隔超过了session的最大有效时间
C．服务器进程被停止

注意关闭浏览器只会使存储在客户端浏览器内存中的session cookie失效，不会使服务器端的session对象失效。

程序一般都是在用户做log off的时候发个指令去删除session，然而浏览器从来不会主动在关闭之前通知服务器它将要被关闭，因此服务器根本不会有机会知道浏览器已经关闭。服务器会一直保留这个会话对象直到它处于非活动状态超过设定的间隔为止。

之所以会有这种“只要关闭浏览器，session就消失了”的错误认识，是因为大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接到服务器时也就无法找到原来的session。

如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求报头，把原来的session id发送到服务器，则再次打开浏览器仍然能够找到原来的session。

恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为session设置了一个失效时间，当距离客户上一次使用session的时间超过了这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。

由此我们可以得出如下结论：
关闭浏览器，只会使浏览器端内存里的session cookie消失，但不会使保存在服务器端的session对象消失，同样也不会使已经保存到硬盘上的持久化cookie消失。

---

HttpSession接口是一个比较重要的接口，这个接口被Servlet引擎用来建立浏览器客户端和HTTP会话两者之间的连接。这种连接一般会在多个请求中持续一段给定的时间。

实质便是JSP内置对象的session所对应的类。

一个session就是一系列某用户和服务器间的通讯。服务器有能力分辨出不同的用户。一个session的建立是从一个用户向服务器发第一个请求开始，而以用户显式结束或session超时为结束。

其工作原理是这样的：

1.当一个用户向服务器发送第一个请求时，服务器为其建立一个session，并为此session创建一个标识号（sessionID）；
2.这个用户随后的所有请求都应包括这个标识号。服务器会校对这个标识号以判断请求属于哪个session。
这种机制不使用IP作为标识，是因为很多机器是通过代理服务器方式上网，没法区分每一台机器。

---

HttpSession的使用：

当需要为用户端建立一个session时，servlet容器就创建了一个HttpSession对象。其中存储了和本session相关的信息。所以，在一个servlet中有多少个不同用户连接，就会有多少个HttpSession对象。

使用的机理是：
1.从请求中提取HttpSession对象；
2.增加或删除HttpSession中的属性；
3.根据需要关闭HttpSession或使其失效。

在请求中有两个重载的方法用来获取HttpSession对象：
HttpSession getSession(boolean create)/getSession();作用是提取HttpSession对象，如果没有自动创建。

HttpSession session=request.getSession(true/false);

参数为true，则如果“当前用户的会话对象”为空（第一次访问时）则创建一个新的会话对象返回；参数为false，则如果“当前用户的会话对象”为空，则返回null（即不自动创建会话对象）。注意request.getSession() 等同于 request.getSession(true)，除非我们确认session一定存在或者session不存在时明确有创建session的需要，否则请尽量使用request.getSession(false)。

获取到HttpSession对象后，我们就需要使用HttpSession的某些方法去设置和更改某些参数了。如：
void setAttribute(String name, Object value);
//通常会话属性的类型只要是Object就可以了，不能是null或基本类型
Object getAttribute(String name);
void removeAttribute(String name);

一个常见的误解是以为session在有客户端访问时就被创建，然而事实是直到某server端程序调用 HttpServletRequest.getSession(true)这样的语句时才被创建。注意如果JSP没有显式地使用 <% @page session=”false”%> 关闭session，则JSP文件在编译成Servlet时将会自动加上这样一条语句 HttpSession session = HttpServletRequest.getSession(true);这也是JSP中隐含的 session对象的来历。由于session会消耗内存资源，因此，如果不打算使用session，应该在所有的JSP中关闭它。（该段话逻辑有点混乱…）

---

参考：
http://www.blogfshare.com/servlet-scc.html
http://blog.sina.com.cn/s/blog_4cc16fc50100bx9r.html