什么是Cookie与Session之Session详解

阿里云周边

12 月 05, 2023

362 0

除了使用Cookie，Web应用程序中还经常使用Session来记录客户端状态。Session是服务器端使用的一种记录客户端状态的机制，使用上比Cookie简单一些，相应的也增加了服务器的存储压力。

【1】什么是session

Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上(内存或硬盘)。一般Session存储在服务器的内存中，tomcat的StandardManager类将session存储在内存中，也可以持久化到file，数据库，memcache，redis等。

客户端只保存sessionid到cookie中，而不会保存session，session销毁只能通过invalidate或超时(默认30分钟)，关掉浏览器并不会关闭session。

客户端浏览器访问服务器的时候，服务器把客户端信息以类似于散列表的形式记录在服务器上，这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份。

Session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了。

当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否包含一个session标识(即，sessionId)。如果已经包含一个sessionId说明以前已经为此客户端创建过session，服务器就按照sessionId把这个session检索出来使用。

如果客户请求不包含sessionId，则为此客户创建一个session并且生成一个与此session相关的sessionId，这个sessionId将在本次响应中返回给客户端保存。

【2】session的读取

Session对应的类为javax.servlet.http.HttpSession类。

每个来访者对应一个Session对象，所有该客户的状态信息都保存在这个Session对象里。

Session对象是在客户端第一次请求服务器的时候创建的。

Session也是一种key-value的属性对，通过getAttribute(Stringkey)和setAttribute(String key，Objectvalue)方法读写客户状态信息。

Servlet里通过request.getSession()方法获取该客户的Session。

HttpSession session = request.getSession();
//设置属性
session.setAttribute("name","tom");
//读取属性
session.getAttribute("name");
//移除属性
session.removeAttribute("name");
//设置有效期，单位为秒，-1代表永不过期
session.setMaxInactiveInterval(1000);
//使其失效
session.invalidate();

request还可以使用getSession(boolean create)来获取Session。

如果该客户的Session不存在

getSession(true)//先创建再返回
getSession(false)//返回null
getSession()//等同于第一

Servlet中必须使用request来编程式获取HttpSession对象，而JSP中内置了Session隐藏对象，可以直接使用。

如果使用声明了，则Session隐藏对象不可用，使用将会抛出异常。

当多个客户端执行程序时，服务器会保存多个客户端的Session。获取Session的时候也不需要声明获取谁的Session。

Session机制决定了当前客户只会获取到自己的Session，而不会获取到别人的Session。各客户的Session也彼此独立，互不可见。

isNew()是指是否一个新创的session，当用户访问一个支持session的jsp网页时，session被创建，尽管有时session里面并没有任何东西。

【3】session的生命周期

Session在用户第一次访问服务器的时候自动创建。

需要注意只有访问JSP、Servlet等程序时才会创建Session，只访问HTML、IMAGE等静态资源并不会创建Session。如果尚未生成Session，也可以使用request.getSession(true)强制生成Session。

详解说明如下：

session是服务器建立的，但服务器不会主动建立。当一个请求过来时，服务器并不会建立一个session,而是要这样：request.getSession();当我们用程序通知服务器时它才会建立一个会话。

在jsp文件中有一个默认的属性 ,翻译成java后就是：

session = pageContext.getSession();

所以当我们访问一个jsp文件的时候，如果没有去更改这个默认值，那也会建立一个会话，这也是大多数人会认为自动创建session的原因了，其实还是相当于我们主动通知服务器去创建。

综上所述：Tomcat这类服务器不会自动的创建session,只有当我们主动通知它时，才会创建会话

Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。用户每访问服务器一次，无论是否读写Session，服务器都认为该用户的Session“活跃（active）”了一次。

由于会有越来越多的用户访问服务器，因此Session也会越来越多。为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了。

Session的超时时间为maxInactiveInterval属性

可以通过对应的getMaxInactiveInterval()获取，通过setMaxInactiveInterval(longinterval)修改。

默认有效期为30分钟，30分钟内没有”活跃”则失效。如果”活跃”则重新计算生命周期。

    //默认 time 1800
    int time = session.getMaxInactiveInterval();
    session.setMaxInactiveInterval(Integer.MAX_VALUE);

Session的超时时间也可以在web.xml中修改。另外，通过调用Session的invalidate()方法可以使Session失效。

invalidate()是指清空session对象里的东西，并不指清除这个session对象本身。

所以，要判断一个session里面是否存在自己想要的东西（这个session是否有效），是不能用isNew()的，应该用如下类似代码：

   UserInfo userInfo=(UserInfo)session.getAttribute(”USERINFO”);
　　if (userInfo!=null)
　　{
    //...
　　}

虽然Session保存在服务器，对客户端是透明的，它的正常运行仍然需要客户端浏览器的支持。

这是因为Session需要使用Cookie作为识别标志。HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一客户，因此服务器向客户端浏览器发送一个名为JSESSIONID的Cookie，它的值为该Session的id（也就是HttpSession.getId()的返回值）。Session依据该Cookie来识别是否为同一用户。

该Cookie为服务器自动生成的，它的maxAge属性一般为–1，表示仅当前浏览器内有效，并且不同的浏览器的窗口间不共享(同一浏览器共享)，关闭浏览器就会失效。

因此同一机器的两个不同类型的浏览器的窗口访问服务器时，会生成两个不同的Session。

但是由浏览器窗口内的链接、脚本等打开的新窗口除外。这类子窗口会共享父窗口的Cookie，因此会共享一个Session。

另外，以IE浏览器举例。当访问服务器获取到jessionid时，此时当前窗口不关闭情况下打开新窗口，或者在桌面再次启动IE程序，jessionid都会共享。

如果关闭IE浏览器，再次打开并访问服务器，则jessionid改变。

【4】URL重写

如果客户端浏览器将Cookie功能禁用，或者不支持Cookie怎么办？例如，绝大多数的手机浏览器都不支持Cookie。

Java Web提供了另一种解决方案：URL地址重写。

">

URL地址重写的原理是将该用户Session的id信息重写到URL地址中。服务器能够解析重写后的URL获取Session的id。

这样即使客户端不支持Cookie，也可以使用Session来记录用户状态。

encodeurl()方法在使用时，会首先判断Session是否启用，如果未启用，直接返回url。然后判断客户端是否启用Cookie，如果未启用，则将参数url中加入SessionID信息，然后返回修改的URL；如果启用，直接返回参数url。

注意：Tomcat判断客户端浏览器是否支持Cookie的依据是请求中是否含有Cookie。

尽管客户端可能会支持Cookie，但是由于第一次请求时不会携带任何Cookie（因为并无任何Cookie可以携带），URL地址重写后的地址中仍然会带有jsessionid。

当第二次访问时服务器已经在浏览器中写入Cookie了，因此URL地址重写后的地址中就不会带有jsessionid了。

第一次访问如下图：

此时浏览器支持cookie；

第二次访问如下图：

【5】session中禁止使用cookie

既然WAP上大部分的客户浏览器都不支持Cookie，索性禁止Session使用Cookie，统一使用URL地址重写会更好一些。

Java Web规范支持通过配置的方式禁用Cookie。

打开项目sessionWeb的WebRoot目录下的META-INF文件夹（跟WEB-INF文件夹同级，如果没有则创建），打开context.xml（如果没有则创建），编辑内容如下：

/META-INF/context.xml

或者修改Tomcat全局的conf/context.xml，修改内容如下：

部署后TOMCAT便不会自动生成名JSESSIONID的Cookie，Session也不会以Cookie为识别标志，而仅仅以重写后的URL地址为识别标志了。

注意：该配置只是禁止Session使用Cookie作为识别标志，并不能阻止其他的Cookie读写。也就是说服务器不会自动维护名为JSESSIONID的Cookie了，但是程序中仍然可以读写其他的Cookie。

【6】sessionId

sessionid是一个会话的key，浏览器第一次访问服务器会在服务器端生成一个session，有一个sessionid和它对应。tomcat生成的sessionid叫做jsessionid。

session在访问tomcat服务器HttpServletRequest的getSession(true)的时候创建，tomcat的ManagerBase类提供创建sessionid的方法：随机数+时间+jvmid。

其存储在服务器的内存中，tomcat的StandardManager类将session存储在内存中，也可以持久化到file，数据库，memcache，redis等。客户端只保存sessionid到cookie中，而不会保存session，session销毁只能通过invalidate或超时，关掉浏览器并不会关闭session。

session不会因为浏览器的关闭而删除。但是存有session ID的cookie的默认过期时间是会话级别。也就是用户关闭了浏览器，那么存储在客户端的session ID便会丢失，但是存储在服务器端的session数据并不会被立即删除。从客户端即浏览器看来，好像session被删除了一样（因为我们丢失了session ID，找不到原来的session数据了）。

【7】Session Cookie

session通过SessionId来区分不同的客户，session是以cookie或url重写为基础的。默认使用cookie来实现(如果浏览器支持的话)，系统会创造一个名为JESSIONID的输出cookie，这称之为session cookie。以区别persistent cookie(也就是我们通常所说的cookie)。

session cookie是储存在浏览器内存的，并非写到硬盘上，通常看不到JESSIONID。但是当把浏览器的cookie禁用后，web服务器会采用URL重写的方式传递session id。这是地址栏将会看到。

session cookie只针对某一次会话而言，会话结束，session cookie也就跟着消失了。关闭浏览器只会使浏览器内存里的session cookie消失，但不会时服务器端的session对象消失。同样也不会使已经保存到硬盘的持久化cookie消失。

但是一旦session cookie消失，没有了session id，服务器端的原先对应的session对象也就无从分辨，相当于”失效”。