目录

一、会话跟踪技术

二、Cookie 介绍

1、Cookie 基础

2、Cookie 使用细节

三、Session 介绍

1、Session 基本介绍

2、Session的原理分析

3、Session的使用细节

---

一、会话跟踪技术

▶ 会话

1. 会话:用户打开浏览器，访问web服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含多次请求和响应。
2. 从浏览器发出请求到服务端响应数据给前端之后，一次会话(在浏览器和服务器之间)就被建立了
3. 会话被建立后，如果浏览器或服务端都没有被关闭，则会话就会持续建立着
4. 浏览器和服务器就可以继续使用该会话进行请求发送和响应，上述的整个过程就被称之为会话。

  用实际场景来理解下会话，比如在我们访问京东的时候，当打开浏览器进入京东首页后，浏览器和京东的服务器之间就建立了一次会话，后面的搜索商品,查看商品的详情,加入购物车等都是在这一次会话中完成。

  思考:下图中总共建立了几个会话?

  每个浏览器都会与服务端建立了一个会话，加起来总共是3个会话。

▶ 会话跟踪

  会话跟踪 : 一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据。

• 服务器会收到多个请求，这多个请求可能来自多个浏览器，如上图中的6个请求来自3个浏览器
• 服务器需要用来识别请求是否来自同一个浏览器
• 服务器用来识别浏览器的过程，这个过程就是会话跟踪
• 服务器识别浏览器后就可以在同一个会话中多次请求之间来共享数据

▶ 有了这个数据共享功能后能实现哪些功能呢? 例：

  ▷ 购物车: `加入购物车`和`去购物车结算`是两次请求，但是后面这次请求要想展示前一次请求所添加的商品，就需要用到数据共享。   

  ▷ 页面展示用户登录信息:很多网站，登录后访问多个功能发送多次请求后，浏览器上都会有当前登录用户的信息[用户名]，比如百度、京东、码云等。

 

  ▷ 网站登录页面的`记住我`功能:当用户登录成功后，勾选`记住我`按钮后下次再登录的时候，网站就会自动填充用户名和密码，简化用户的登录操作，多次登录就会有多次请求，他们之间也涉及到共享数据

   

  ▷ 登录页面的验证码功能:生成验证码和输入验证码点击注册这也是两次请求，这两次请求的数据之间要进行对比，相同则允许注册，不同则拒绝注册，该功能的实现也需要在同一次会话中共享数据。

▶ 为什么现在浏览器和服务器不支持数据共享呢?

• 浏览器和服务器之间使用的是HTTP请求来进行数据传输
• HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求
• HTTP协议设计成无状态的目的是让每次请求之间相互独立，互不影响
• 请求与请求之间独立后，就无法实现多次请求之间的数据共享

▶ 如何实现会话跟踪技术呢? 两种方式：

1. 客户端会话跟踪技术：Cookie
2. 服务端会话跟踪技术：Session

这两个技术都可以实现会话跟踪，它们之间最大的区别: Cookie是存储在浏览器端而Session是存储在服务器端。

二、Cookie 介绍

1、Cookie 基础

▶ 概念

  Cookie：客户端会话技术，将数据保存到客户端，以后每次请求都携带Cookie数据进行访问。

▶ Cookie的工作流程

1. 服务端提供了两个Servlet，分别是ServletA和ServletB
2. 浏览器发送HTTP请求1给服务端，服务端ServletA接收请求并进行业务处理
3. 服务端ServletA在处理的过程中可以创建一个Cookie对象并将`name=zs`的数据存入Cookie
4. 服务端ServletA在响应数据的时候，会把Cookie对象响应给浏览器
5. 浏览器接收到响应数据，会把Cookie对象中的数据存储在浏览器内存中，此时浏览器和服务端就建立了一次会话
6. 在同一次会话中浏览器再次发送HTTP请求2给服务端ServletB，浏览器会携带Cookie对象中的所有数据
7. ServletB接收到请求和数据后，就可以获取到存储在Cookie对象中的数据，这样同一个会话中的多次请求之间就实现了数据共享

▶ Cookie的基本使用

  对于Cookie的使用，我们更关注的应该是后台代码如何操作Cookie，对于Cookie的操作主要分两大类，本别是发送Cookie和获取Cookie，对于上面这两块内容，分别该如何实现呢?

 ▷ 发送Cookie：

  1、创建Cookie对象，并设置数据

Cookie cookie = new Cookie("key","value");

  2、发送Cookie到客户端：使用response对象

response.addCookie(cookie);

 ▷ 获取Cookie：

  1、获取客户端携带的所有Cookie，使用request对象

Cookie[] cookies = request.getCookies();

  2、遍历数组，获取每一个Cookie对象：for
  3、使用Cookie对象方法获取数据

cookie.getName();
cookie.getValue();

▶ Cookie的原理分析

 对于Cookie的实现原理是基于HTTP协议的,其中设计到HTTP协议中的两个请求头信息:

• 响应头: set-cookie
• 请求头: cookie

• AServlet给前端发送Cookie，BServlet从request中获取Cookie的功能
• 对于AServlet响应数据的时候，Tomcat服务器都是基于HTTP协议来响应数据
• 当Tomcat发现后端要返回的是一个Cookie对象之后，Tomcat就会在响应头中添加一行数据`Set-Cookie:username=zs`
• 浏览器获取到响应结果后，从响应头中就可以获取到`Set-Cookie`对应值`username=zs`,并将数据存储在浏览器的内存中
• 浏览器再次发送请求给BServlet的时候，浏览器会自动在请求头中添加`Cookie: username=zs`发送给服务端BServlet
• Request对象会把请求头中cookie对应的值封装成一个个Cookie对象，最终形成一个数组
• BServlet通过Request对象获取到Cookie[]后，就可以从中获取自己需要的数据

响应头：

 请求头：

2、Cookie 使用细节

▶ Cookie的存活时间

 问题:

1. 浏览器发送请求给AServlet,AServlet会响应一个存有`usernanme=zs`的Cookie对象给浏览器
2. 浏览器接收到响应数据将cookie存入到浏览器内存中
3. 当浏览器再次发送请求给BServlet,BServlet就可以使用Request对象获取到Cookie数据
4. 在发送请求到BServlet之前，如果把浏览器关闭再打开进行访问，BServlet能否获取到Cookie数据?

注意：浏览器关闭再打开不是指打开一个新的选显卡，而且必须是先关闭再打开，顺序不能变。

▷ 针对上面这个问题，通过演示，会发现，BServlet中无法再获取到Cookie数据，这是为什么呢?

  默认情况下，Cookie存储在浏览器内存中，当浏览器关闭，内存释放，则Cookie被销毁这个结论就印证了上面的演示效果，但是如果使用这种默认情况下的Cookie,有些需求就无法实现，比如:

上面这个网站的登录页面上有一个`记住我`的功能，这个功能大家都比较熟悉：

1. 第一次输入用户名和密码并勾选`记住我`然后进行登录
2. 下次再登陆的时候，用户名和密码就会被自动填充，不需要再重新输入登录
3.  比如`记住我`这个功能需要记住用户名和密码一个星期，那么使用默认情况下的Cookie就会出现问题，因为默认情况，浏览器一关，Cookie就会从浏览器内存中删除，对于`记住我`功能就无法实现

所以我们现在就遇到一个难题是如何将Cookie持久化存储? ==》Cookie其实已经为我们提供好了对应的API来完成这件事，这个API就是setMaxAge

▶ 设置Cookie存活时间

setMaxAge(int seconds)

参数值为:

 1.正数：将Cookie写入浏览器所在电脑的硬盘，持久化存储。到时间自动删除

 2.负数：默认值，Cookie在当前浏览器内存中，当浏览器关闭，则Cookie被销毁

 3.零：删除对应Cookie

▶ Cookie存储中文

  Cookie不能存储中文，如果需要存储中文，就需要进行转码，具体的实现思路为:

1.在AServlet中对中文进行URL编码，采用URLEncoder.encode()，将编码后的值存入Cookie中:

//对中文进行URL编码
value = URLEncoder.encode(value, "UTF-8");

2.在BServlet中获取Cookie中的值,获取的值为URL编码后的值

//1. 获取Cookie数组
Cookie[] cookies = request.getCookies();
//2. 遍历数组
for (Cookie cookie : cookies) {
    //3. 获取数据
    String name = cookie.getName();
    if("username".equals(name)){
        String value = cookie.getValue();//获取的是URL编码后的值 

        //URL解码
        value = URLDecoder.decode(value,"UTF-8");
        System.out.println(name+":"+value);//value解码
   }
}

3.将获取的值在进行URL解码,采用URLDecoder.decode()，就可以获取到对应的中文值

//URL解码
value = URLDecoder.decode(value,"UTF-8");

三、Session 介绍

1、Session 基本介绍

▶ 概述

Session：服务端会话跟踪技术：将数据保存到服务端。

• Session是存储在服务端而Cookie是存储在客户端
• 存储在客户端的数据容易被窃取和截获，存在很多不安全的因素
• 存储在服务端的数据相比于客户端来说就更安全

▶ Session的工作流程

• 在服务端的AServlet获取一个Session对象，把数据存入其中
• 在服务端的BServlet获取到相同的Session对象，从中取出数据
• 就可以实现一次会话中多次请求之间的数据共享了
• 现在最大的问题是如何保证AServlet和BServlet使用的是同一个Session对象(在原理分析会处)?

▶ Session的基本使用

 在JavaEE中提供了HttpSession接口，来实现一次会话的多次请求之间数据共享功能。

▷ 具体的使用步骤为:

 1、获取Session对象,使用的是request对象

HttpSession session = request.getSession();

 ● Session对象提供的功能:

  ○ 存储数据到 session 域中

void setAttribute(String name, Object o)

  ○ 根据 key，获取值

Object getAttribute(String name)

  ○ 根据 key，删除该键值对

void removeAttribute(String name)

注意: Session中可以存储的是一个Object类型的数据，也就是说Session中可以存储任意数据类型。

2、Session的原理分析

▷ Session是基于Cookie实现的

Session要想实现一次会话多次请求之间的数据共享，就必须要保证多次请求获取Session的对象是同一个。那么它们是一个对象么？==》 两个Servlet类中获取的Session对象是同一个，并且控制台最终打印的结果都是同一个。

▶ 如果新开一个浏览器，打印在控制台的Session还是同一个对象么?

 如果是不同浏览器或者重新打开浏览器后，打印的Session就不一样了。所以Session实现的也是一次会话中的多次请求之间的数据共享。

 注意: 在一台电脑上演示的时候，如果是相同的浏览器必须要把浏览器全部关掉重新打开，才算新开的一个浏览器。当然也可以使用不同的浏览器进行测试，就不需要把之前的浏览器全部关闭。

▶ Session是如何保证在一次会话中获取的Session对象是同一个呢?

1. demo1（图片上第一个Servlet）在第一次获取session对象的时候，session对象会有一个唯一的标识，假如是`id:10`
2. demo1在session中存入其他数据并处理完成所有业务后，需要通过Tomcat服务器响应结果给浏览器
3. Tomcat服务器发现业务处理中使用了session对象，就会把session的唯一标识`id:10`当做一个cookie，添加`Set-Cookie:JESSIONID=10`到响应头中，并响应给浏览器
4. 浏览器接收到响应结果后，会把响应头中的coookie数据存储到浏览器的内存中
5. 浏览器在同一会话中访问demo2的时候，会把cookie中的数据按照`cookie: JESSIONID=10`的格式添加到请求头中并发送给服务器Tomcat
6. demo2获取到请求后，从请求头中就读取cookie中的JSESSIONID值为10，然后就会到服务器内存中寻找`id:10`的session对象，如果找到了，就直接返回该对象，如果没有则新创建一个session对象
7. 关闭打开浏览器后，因为浏览器的cookie已被销毁，所以就没有JESSIONID的数据，服务端获取到的session就是一个全新的session对象

3、Session的使用细节

Session钝化与活化

▶ 服务器重启后，Session中的数据是否还在?

(1)服务器端AServlet和BServlet共用的session对象应该是存储在服务器的内存中

(2)服务器重新启动后，内存中的数据应该是已经被释放，对象也应该都销毁了

    所以session数据应该也已经不存在了。

▷ 但是如果session不存在会引发什么问题呢? 举个例子：

(1)用户把需要购买的商品添加到购物车，因为要实现同一个会话多次请求数据共享，所以假设把数据存入Session对象中

(2)用户正要付钱的时候接到一个电话，付钱的动作就搁浅了

(3)正在用户打电话的时候，购物网站因为某些原因需要重启

(4)重启后session数据被销毁，购物车中的商品信息也就会随之而消失

(5)用户想再次发起支付，就会出为问题

▶ Tomcat服务器在重启的时候，session数据到底会不会保存以及是如何保存的？

注意 : 这里所说的关闭和启动应该要确保是正常的关闭和启动。

▷ 那如何才是正常关闭Tomcat服务器呢?需要使用命令行的方式来启动和停止Tomcat服务器:

 ● 启动: 进入到项目pom.xml所在目录，执行`tomcat7:run`

 ● 停止: 在启动的命令行界面，输入`ctrl+c`

 经过测试，会发现只要服务器是正常关闭和启动，session中的数据是可以被保存下来的。

那么Tomcat服务器到底是如何做到的呢?具体的原因就是: Session的钝化和活化。

▶ Session的钝化和活化

 ● 钝化：在服务器正常关闭后，Tomcat会自动将Session数据写入硬盘的文件中。钝化的数据路径为:`项目目录\target\tomcat\work\Tomcat\localhost\项目名称\SESSIONS.ser`

● 活化：再次启动服务器后，从文件中加载数据到Session中，数据加载到Session中后，路径中的`SESSIONS.ser`文件会被自动删除掉。

▶ Session销毁

session的销毁会有两种方式:

1、默认情况下，无操作，30分钟自动销毁。对于这个失效时间，是可以通过配置进行修改的。在项目的web.xml中配置：

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee 
  http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
               version="3.1">
      
<session-config>
    <session-timeout>100</session-timeout>
    </session-config>
</web-app>
      

 2、如果没有配置，默认是30分钟，默认值是在Tomcat 的web.xml配置文件中写死的。调用Session对象的invalidate()进行销毁   

▶ Cookie 和 Session 小结

Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。

 ● 区别:
  ○ 存储位置：Cookie 是将数据存储在客户端，Session 将数据存储在服务端
  ○ 安全性：Cookie不安全，Session安全
  ○ 数据大小：Cookie最大3KB，Session无大小限制
  ○ 存储时间：Cookie可以通过setMaxAge()长期存储，Session默认30分钟
  ○ 服务器性能：Cookie不占服务器资源，Session占用服务器资源
 ● 应用场景:
  ○ 购物车: 使用Cookie来存储
  ○ 以登录用户的名称展示: 使用Session来存储
  ○ 记住我功能: 使用Cookie来存储
  ○ 验证码: 使用session来存储
 ● 结论
  ○ Cookie是用来保证用户在未登录情况下的身份识别
  ○ Session是用来保存用户登录后的数据