Session

Session基本使用

Session：服务端会话跟踪技术：将数据保存到服务端。

Session是存储在服务端而Cookie是存储在客户端,存储在客户端的数据容易被窃取和截获，存在很多不安全的因素。存储在服务端的数据相比于客户端来说就更安全

接下来我们看看Session的工作流程：

• 在服务端的AServlet获取一个Session对象，把数据存入其中
• 在服务端的BServlet获取到相同的Session对象，从中取出数据
• 就可以实现一次会话中多次请求之间的数据共享了

在JavaEE中提供了HttpSession接口，来实现一次会话的多次请求之间数据共享功能。

具体的使用步骤为:

• 获取Session对象,使用的是request对象

HttpSession session = request.getSession();

• Session对象提供的功能:

  • 存储数据到 session 域中

    void setAttribute(String name, Object o)
    

  • 根据 key，获取值

    Object getAttribute(String name)
    

  • 根据 key，删除该键值对

    void removeAttribute(String name)
    

我们可以来试验一下：

@WebServlet("/demo1")
public class SessionDemo1 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        System.out.println("你发送了一个get请求给服务器，这里是demo1");
        HttpSession session = request.getSession();
        session.setAttribute("username","zs");

    }
}

@WebServlet("/demo2")
public class SessionDemo2 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        System.out.println("你发送了一个get请求给服务器，这里是demo2");
        HttpSession session = request.getSession();
        System.out.println(session.getAttribute("username"));
    }
}

我们先请求demo1，在请求demo2，得到：

Session原理

Session的实现是基于Cookie的

Session要想实现一次会话多次请求之间的数据共享，就必须要保证多次请求获取Session的对象是同一个。

这个我们可以通过打印两次Session对象的地址值进行比较来进行验证

那么Session是如何保证在一次会话中获取的Session对象是同一个呢?

(1)demo1在第一次获取session对象的时候，session对象会有一个唯一的标识，假如是id:10

(2)demo1在session中存入其他数据并处理完成所有业务后，需要通过Tomcat服务器响应结果给浏览器

(3)Tomcat服务器发现业务处理中使用了session对象，就会把session的唯一标识id:10当做一个cookie，添加Set-Cookie:JESSIONID=10到响应头中，并响应给浏览器

(4)浏览器接收到响应结果后，会把响应头中的coookie数据存储到浏览器的内存中

(5)浏览器在同一会话中访问demo2的时候，会把cookie中的数据按照cookie: JESSIONID=10的格式添加到请求头中并发送给服务器Tomcat

(6)demo2获取到请求后，从请求头中就读取cookie中的JSESSIONID值为10，然后就会到服务器内存中寻找id:10的session对象，如果找到了，就直接返回该对象，如果没有则新创建一个session对象

(7)关闭打开浏览器后，因为浏览器的cookie已被销毁，所以就没有JESSIONID的数据，服务端获取到的session就是一个全新的session对象

我们可以通过基本使用中的案例来进行验证：

Session的使用细节

Session钝化、活化

• 钝化：在服务器正常关闭后，Tomcat会自动将Session数据写入硬盘的文件中
• 活化：再次启动服务器后，从文件中加载数据到Session中

这个文件我们可以在项目的tomcat文件夹中找到

如此通过Session钝化、活化我们就可以实现使用正常的服务器开关机Session中的数据仍然存在。

注意：
session数据存储在服务端，服务器重启后，session数据会被保存。但是如果浏览器被关闭启动后，重新建立的连接就已经是一个全新的会话，获取的session数据也是一个新的对象。session的数据要想共享，浏览器不能关闭，所以session数据不能长期保存数据，cookie是存储在客户端，是可以长期保存。

Session销毁

session的销毁会有两种方式:

• 默认情况下，无操作，30分钟自动销毁

  • 对于这个失效时间，是可以通过配置进行修改的

    • 在项目的web.xml中配置

      <?xml version="1.0" encoding="UTF-8"?>
      <web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
               xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
               xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
               version="3.1">
      
          <session-config>
              <session-timeout>100</session-timeout>
          </session-config>
      </web-app>
      

    • 如果没有配置，默认是30分钟，默认值是在Tomcat的web.xml配置文件中写死的

      

• 调用Session对象的invalidate()进行销毁

  • 在SessionDemo2类中添加session销毁的方法

    @WebServlet("/demo2")
    public class SessionDemo2 extends HttpServlet {
        @Override
        protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            //获取数据，从session中
    
            //1. 获取Session对象
            HttpSession session = request.getSession();
            System.out.println(session);
    
            // 销毁
            session.invalidate();
            //2. 获取数据
            Object username = session.getAttribute("username");
            System.out.println(username);
        }
    
        @Override
        protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            this.doGet(request, response);
        }
    }
    

  • 启动访问测试，先访问demo1将数据存入到session，再次访问demo2从session中获取数据

    

  • 该销毁方法一般会在用户退出的时候，需要将session销毁掉。

Cookie和Session小结

Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。

区别：

区别	Cookie	Session
数据存储位置	客户端	服务端
安全性	不安全	安全
数据大小	最大3KB	无大小限制
存储时间	可以通过setMaxAge()长期存储	默认30分钟
服务器性能	不占服务器资源	占用服务器资源

• 应用场景:
  • 购物车:使用Cookie来存储
  • 以登录用户的名称展示:使用Session来存储
  • 记住我功能:使用Cookie来存储
  • 验证码:使用session来存储
• 结论
  • Cookie是用来保证用户在未登录情况下的身份识别
  • Session是用来保存用户登录后的数据