session和Cookie和JSESSIONID
<% Cookie cookie = new Cookie("userName", "zhangsan");
cookie.setMaxAge(30 * 24 * 60 * 60); //保存30天
// cookie.setDomain(".baidu.com");
// cookie.setPath("/");
// cookie.setDomain(".0.0.1");
// cookie.setDomain(request.getHeader("host"));
// cookie.setPath("/");
// 使用javascript无法读取HttpOnly=true的cookie，安全性更高
// 在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击
//js无法读取到cookie信息,但是服务器端仍然可以使用java语言读取到cookie信息
cookie.setHttpOnly(true);
response.addCookie(cookie); //写COOKIE
%>
<%
//设置Cookie的域(setDomain)和路径(setPath),给别的web应用设置Cookie
// Cookie testCookie = new Cookie("test", "testDomainAndPath");
// 使用javascript无法读取HttpOnly=true的cookie，安全性更高
// 在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击
// testCookie.setHttpOnly(true);
// testCookie.setDomain("");
// testCookie.setPath("");
//手动设置jsessionid到浏览器中的Cookie(测试下各个浏览器是会覆盖JSESSIONID，还是会有2个JSESSIONID)
// Cookie cookie2 = new Cookie("JSESSIONID", "test360731");
Cookie cookie2 = new Cookie("JSESSIONID", session.getId());
/*
测试得出结论，在打开浏览器(不关闭浏览器)的情况下，只要浏览器2分钟不和服务器交互，名称叫JSESSIONID的Cookie会自动失
效，所以2分钟之后，浏览器再向服务器发送请求的时候，在请求头中的这个叫JSESSIONID的Cookie已经失效了，也就是说不会在请
求头中发送这个叫JSESSIONID的Cookie给服务器(即浏览器中已经没有JSESSIONID了)，那服务器自然不知道，也分辨不
出到底是哪个客户端(浏览器)请求的服务器，因为在服务器端找不到sessionid与浏览器请求中发送过来的JSESSIONID相匹配，别
说服务器端的sessionid和浏览器中名叫JSESSIONID的Cookie匹配了，在浏览器超过2分钟未和服务器交互的情况下，这
时浏览器中名叫JSESSIONID的Cookie早就失效了，在2分钟后浏览器再次请求服务器，此时，浏览器中名叫JSESSIONID的Cookie都已
经失效了，在浏览器请求服务器的过程中，在请求头中连带都不会带这个名叫JSESSIONID的Cookie到服务器，所以只要是2分钟内浏览器未和服
务器进行交互，而是在2分钟后浏览器才再次向服务器发送请求进行交互的话，服务器端会向浏览器中回写一个新的sessionid到名
叫JSESSIONID的Cookie中
*/
/*很多浏览器都是名叫JSESSIONID的Cookie默认的MaxAge等于-1，即关闭浏览器，名叫JSESSIONID的Cookie就失效，所
以很多网站你已经登录了，但是你把浏览器关闭了，再重新打开浏览器访问你刚才已经登录了的网站，发现要求你重新登录,其
实就是因为名叫JSESSIONID的Cookie默认的MaxAge等于-1导致的，如果在自己开发的项目中，用户在浏览器中登录了你的web应用程
序，但是用户关闭了浏览器，此时用户再次打开浏览器访问你web应用程序，发现又要重新登录，用户会很反感，如果你想解决这个问题的话，可以使
用这种写法Cookie cookie2 = new Cookie("JSESSIONID", session.getId());
cookie2.setMaxAge(24 * 60 * 60);//保存24个小时
response.addCookie(cookie2);
但是我还是想提醒大家，cookie2.setMaxAge(24 * 60 * 60);这句话在设置MaxAge时间的时候，不要设置太大，如
果是在网吧等这些公共场合的话，你用浏览器登录了web应用程序，然后你关闭了浏览器，然后下机或者离开座位，别人用你这台电脑，打
开浏览器，打开你刚才访问的web应用程序，只要该web应用程序的名叫JSESSIONID的Cookie的MaxAge还没过期，那别
人就可以继续使用你刚才已经登录了的账号访问和操作该web应用程序，这样你的账号就会被别人非法操作和使用，造成你的损失，
如果浏览器中的名叫JSESSIONID，JSESSIONID的值等于AECE15RYHN的Cookie没有过期，而服务
器端的sessionid等于AECE15RYHN的session对象超过了过期时间，那浏览器再访问该web应用程序时还是需要重新登录才行
(当然啦，客户端浏览器中的名叫JSESSIONID的Cookie是需要在请求头中发
送到服务器和服务器的sessionid匹配的，要不然服务器怎么知道，怎么分辨是哪个客户端浏览器发来的请求，换句话说，浏
览器中的JSESSIONID要和服务器上的sessionid相等，服务器才知道你到底是哪个客户端浏览器，如果浏览
器中的名叫JSESSIONID的Cookie没有过期，而服务器上的session的sessionid过期了，那浏览
器的名叫JSESSIONID的Cookie还是匹配不到服务器上的sessionid，那用户还是需要重新登录web应用程序，所
以浏览器上的名叫JSESSIONID的Cookie必须要和服务器端上的sessionid配合使用才能形成一次完整的会话过程，缺一不可，还有一点大
家注意，服务器端的sessionid的过期时间是可以自己设置的，服务器上session会话过期时间的设置，大家都知道的，这
里我就不再赘述了！所以大家在一些公共场合上网的时候，使用了浏览器登录了一些网站，如果不想用这些网站了，最好使
用浏览器清除掉所有的Cookie，防止别人在你离开位置后别人非法使用你的账号进行操作，尤其是像网银，支付宝等涉及资
金财产的一些web网站，大家一定要提高安全意识，避免财产损失!)
*/
//测试浏览器关闭后2分钟失效还是浏览器在不关闭的情况下，2分钟不做任何操作失效
/*
经过测试，火狐浏览器和IE(版本为IE11)浏览器在不关闭的情况下，Cookie超过了MaxAge(过期时间)，Cookie就会立马失效，但
是谷歌浏览器在不关闭的情况下，Cookie超过了MaxAge(过期时间)，Cookie不会立马失效，
谷歌浏览器在不关闭浏览器的情况下，Cookie超过了MaxAge(过期时间)，Cookie也会立马失效，不过有意思的是，经过我的观察发
现，谷歌浏览器中保存了2份JSESSIONID，一份是新的JSESSIONID，还有一份是过期了的JSESSIONID
*/
/*有个奇怪的问题，我明明把JSESSIONID这个cookie的MaxAge(过期时间)设置成了2分钟，为什么从浏览器中传回到服务器上时，我打
印出JSESSIONID这个cookie的MaxAge却变成了-1，不仅如此，从浏览器中传回到服务器上的所
有的Cookie的MaxAge的值都是-1
*/
cookie2.setMaxAge(2 * 60); //保存2分钟(为了测试浏览器关闭后,看看名称为JSESSIONID的cookie是否马上失效)
response.addCookie(cookie2); //写COOKIE
%>
testCookie.jsp
<%@page import="java.text.SimpleDateFormat"%>
<%@page import="java.util.Date"%>
<%@ page language="java" contentType="text/html; charset=utf-8"
pageEncoding="utf-8"%>
演示Cookie，Cookie的读取和写入
演示Cookie，Cookie的读取和写入
<%
Date now = new Date();
SimpleDateFormat df = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss:sss");
out.print("当前时间:" + df.format(now) + "
");
out.print("sessionId=" + session.getId() + "
");
out.print("您好：" + session.getAttribute("myName") + "
");
%>
<%
Cookie cookie = new Cookie("userName", "zhangsan");
cookie.setMaxAge(30 * 24 * 60 * 60); //保存30天
// cookie.setDomain(".baidu.com");
// cookie.setPath("/");
// cookie.setDomain(".0.0.1");
// cookie.setDomain(request.getHeader("host"));
// cookie.setPath("/");
// 使用javascript无法读取HttpOnly=true的cookie，安全性更高
// 在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击
//js无法读取到cookie信息,但是服务器端仍然可以使用java语言读取到cookie信息
cookie.setHttpOnly(true);
response.addCookie(cookie); //写COOKIE
Cookie[] cookies = request.getCookies();
out.print("cookies数组对象=" + cookies + "
");
if(cookies != null){
out.print("
");
out.print("所有Cookie如下：
");
Cookie sCookie = null;
out.print("cookies数量=" + cookies.length + "
");
for (int i = 0; i < cookies.length; i++) { //用一个循环语句遍历刚才建立的Cookie对象数组
sCookie = cookies[i]; //取出数组中的一个Cookie对象
if (sCookie != null) {
// if (("cookieName").equals(sCookie.getName())) {
// pageContext.setAttribute("SavedUserName", sCookie.getValue());
// }
String str = "♥ ";
out.print(str + sCookie.getName() + " = " + sCookie.getValue() + " /MaxAge=" + sCookie.getMaxAge() + " /Version=" + sCookie.getVersion() + "
");
if("zhangsan".equals(sCookie.getValue())){
Cookie myCookie = new Cookie("message", "hello my name is zhangsan");
myCookie.setMaxAge(30 * 24 * 60 * 60); //保存30天
response.addCookie(myCookie); //写COOKIE
}else if("lisi".equals(sCookie.getValue())){
Cookie myCookie = new Cookie("message", "hello my name is lisi");
myCookie.setMaxAge(30 * 24 * 60 * 60); //保存30天
response.addCookie(myCookie); //写COOKIE
}
}
}
out.print("
");
}
%>
<%
//设置Cookie的域(setDomain)和路径(setPath),给别的web应用设置Cookie
// Cookie testCookie = new Cookie("test", "testDomainAndPath");
// 使用javascript无法读取HttpOnly=true的cookie，安全性更高
// 在cookie中设置了HttpOnly属性，那么通过js脚本将无法读取到cookie信息，这样能有效的防止XSS攻击
// testCookie.setHttpOnly(true);
// testCookie.setDomain("");
// testCookie.setPath("");
//手动设置jsessionid到浏览器中的Cookie(测试下各个浏览器是会覆盖JSESSIONID，还是会有2个JSESSIONID)
// Cookie cookie2 = new Cookie("JSESSIONID", "test360731");
Cookie cookie2 = new Cookie("JSESSIONID", session.getId());
/*
测试得出结论，在打开浏览器(不关闭浏览器)的情况下，只要浏览器2分钟不和服务器交互，名称叫JSESSIONID的Cookie会自动失
效，所以2分钟之后，浏览器再向服务器发送请求的时候，在请求头中的这个叫JSESSIONID的Cookie已经失效了，也就是说不会在请
求头中发送这个叫JSESSIONID的Cookie给服务器(即浏览器中已经没有JSESSIONID了)，那服务器自然不知道，也分辨不
出到底是哪个客户端(浏览器)请求的服务器，因为在服务器端找不到sessionid与浏览器请求中发送过来的JSESSIONID相匹配，别
说服务器端的sessionid和浏览器中名叫JSESSIONID的Cookie匹配了，在浏览器超过2分钟未和服务器交互的情况下，这
时浏览器中名叫JSESSIONID的Cookie早就失效了，在2分钟后浏览器再次请求服务器，此时，浏览器中名叫JSESSIONID的Cookie都已
经失效了，在浏览器请求服务器的过程中，在请求头中连带都不会带这个名叫JSESSIONID的Cookie到服务器，所以只要是2分钟内浏览器未和服
务器进行交互，而是在2分钟后浏览器才再次向服务器发送请求进行交互的话，服务器端会向浏览器中回写一个新的sessionid到名
叫JSESSIONID的Cookie中
*/
/*很多浏览器都是名叫JSESSIONID的Cookie默认的MaxAge等于-1，即关闭浏览器，名叫JSESSIONID的Cookie就失效，所
以很多网站你已经登录了，但是你把浏览器关闭了，再重新打开浏览器访问你刚才已经登录了的网站，发现要求你重新登录,其
实就是因为名叫JSESSIONID的Cookie默认的MaxAge等于-1导致的，如果在自己开发的项目中，用户在浏览器中登录了你的web应用程
序，但是用户关闭了浏览器，此时用户再次打开浏览器访问你web应用程序，发现又要重新登录，用户会很反感，如果你想解决这个问题的话，可以使
用这种写法Cookie cookie2 = new Cookie("JSESSIONID", session.getId());
cookie2.setMaxAge(24 * 60 * 60);//保存24个小时
response.addCookie(cookie2);
但是我还是想提醒大家，cookie2.setMaxAge(24 * 60 * 60);这句话在设置MaxAge时间的时候，不要设置太大，如
果是在网吧等这些公共场合的话，你用浏览器登录了web应用程序，然后你关闭了浏览器，然后下机或者离开座位，别人用你这台电脑，打
开浏览器，打开你刚才访问的web应用程序，只要该web应用程序的名叫JSESSIONID的Cookie的MaxAge还没过期，那别
人就可以继续使用你刚才已经登录了的账号访问和操作该web应用程序，这样你的账号就会被别人非法操作和使用，造成你的损失，
如果浏览器中的名叫JSESSIONID，JSESSIONID的值等于AECE15RYHN的Cookie没有过期，而服务
器端的sessionid等于AECE15RYHN的session对象超过了过期时间，那浏览器再访问该web应用程序时还是需要重新登录才行
(当然啦，客户端浏览器中的名叫JSESSIONID的Cookie是需要在请求头中发
送到服务器和服务器的sessionid匹配的，要不然服务器怎么知道，怎么分辨是哪个客户端浏览器发来的请求，换句话说，浏
览器中的JSESSIONID要和服务器上的sessionid相等，服务器才知道你到底是哪个客户端浏览器，如果浏览
器中的名叫JSESSIONID的Cookie没有过期，而服务器上的session的sessionid过期了，那浏览
器的名叫JSESSIONID的Cookie还是匹配不到服务器上的sessionid，那用户还是需要重新登录web应用程序，所
以浏览器上的名叫JSESSIONID的Cookie必须要和服务器端上的sessionid配合使用才能形成一次完整的会话过程，缺一不可，还有一点大
家注意，服务器端的sessionid的过期时间是可以自己设置的，服务器上session会话过期时间的设置，大家都知道的，这
里我就不再赘述了！所以大家在一些公共场合上网的时候，使用了浏览器登录了一些网站，如果不想用这些网站了，最好使
用浏览器清除掉所有的Cookie，防止别人在你离开位置后别人非法使用你的账号进行操作，尤其是像网银，支付宝等涉及资
金财产的一些web网站，大家一定要提高安全意识，避免财产损失!)
*/
//测试浏览器关闭后2分钟失效还是浏览器在不关闭的情况下，2分钟不做任何操作失效
/*
经过测试，火狐浏览器和IE(版本为IE11)浏览器在不关闭的情况下，Cookie超过了MaxAge(过期时间)，Cookie就会立马失效，但
是谷歌浏览器在不关闭的情况下，Cookie超过了MaxAge(过期时间)，Cookie不会立马失效，
谷歌浏览器在不关闭浏览器的情况下，Cookie超过了MaxAge(过期时间)，Cookie也会立马失效，不过有意思的是，经过我的观察发
现，谷歌浏览器中保存了2份JSESSIONID，一份是新的JSESSIONID，还有一份是过期了的JSESSIONID
*/
/*有个奇怪的问题，我明明把JSESSIONID这个cookie的MaxAge(过期时间)设置成了2分钟，为什么从浏览器中传回到服务器上时，我打
印出JSESSIONID这个cookie的MaxAge却变成了-1，不仅如此，从浏览器中传回到服务器上的所
有的Cookie的MaxAge的值都是-1
*/
cookie2.setMaxAge(2 * 60); //保存2分钟(为了测试浏览器关闭后,看看名称为JSESSIONID的cookie是否马上失效)
response.addCookie(cookie2); //写COOKIE
%>