JSP 过滤器+Cookie+Session

过滤器

过滤器可以动态的拦截请求和相应，以变换或使用包含在请求或响应中的信息。

过滤器是可用于 Servlet 编程的 Java 类，可以实现以下目的：

• 在客户端的请求访问后端资源之前，拦截这些请求。
• 在服务器的响应发送回客户端之前，处理这些响应。

根据规范建议的各种类型的过滤器：

• 身份验证过滤器（Authentication Filters）。
• 数据压缩过滤器（Data compression Filters）。
• 加密过滤器（Encryption Filters）。
• 触发资源访问事件过滤器。
• 图像转换过滤器（Image Conversion Filters）。
• 日志记录和审核过滤器（Logging and Auditing Filters）。
• MIME-TYPE 链过滤器（MIME-TYPE Chain Filters）。
• 标记化过滤器（Tokenizing Filters）。
• XSL/T 过滤器（XSL/T Filters），转换 XML 内容。

Servlet 过滤器方法

过滤器是一个实现了 javax.servlet.Filter 接口的 Java 类。javax.servlet.Filter 接口定义了三个方法：

• public void doFilter (ServletRequest, ServletResponse, FilterChain)
  该方法完成实际的过滤操作，当客户端请求方法与过滤器设置匹配的URL时，Servlet容器将先调用过滤器的doFilter方法。FilterChain用户访问后续过滤器。
• public void init(FilterConfig filterConfig)
  web 应用程序启动时，web 服务器将创建Filter 的实例对象，并调用其init方法，读取web.xml配置，完成对象的初始化功能，从而为后续的用户请求作好拦截的准备工作（filter对象只会创建一次，init方法也只会执行一次）。开发人员通过init方法的参数，可获得代表当前filter配置信息的FilterConfig对象。
• public void destroy()
  Servlet容器在销毁过滤器实例前调用该方法，在该方法中释放Servlet过滤器占用的资源。

FilterConfig 使用

Filter 的 init 方法中提供了一个 FilterConfig 对象。

web.xml 文件配置如下：

    LoginFilter
    com.runoob.test.LogFilter
    
        Site
        Lisy
    

在 init 方法使用 FilterConfig 对象获取参数：

public void  init(FilterConfig config) throws ServletException {
    // 获取初始化参数
    String site = config.getInitParameter("Site"); 
    // 输出初始化参数
    System.out.println("网站名称: " + site); 
}

过滤器的应用顺序
web.xml 中的 filter-mapping 元素的顺序决定了 Web 容器应用过滤器到 Servlet 的顺序。若要反转过滤器的顺序，您只需要在 web.xml 文件中反转 filter-mapping 元素即可。
web.xml配置各节点说明

• 指定一个过滤器。
  • 用于为过滤器指定一个名字，该元素的内容不能为空。
  • 元素用于指定过滤器的完整的限定类名。
  • 元素用于为过滤器指定初始化参数，它的子元素指定参数的名字，指定参数的值。
  • 在过滤器中，可以使用FilterConfig接口对象来访问初始化参数。
• 元素用于设置一个 Filter 所负责拦截的资源。一个Filter拦截的资源可通过两种方式来指定：Servlet 名称和资源访问的请求路径
  • 子元素用于设置filter的注册名称。该值必须是在元素中声明过的过滤器的名字
  • 设置 filter 所拦截的请求路径(过滤器关联的URL样式)
• 指定过滤器所拦截的Servlet名称。调用的方式，可以是REQUEST,INCLUDE,FORWARD和ERROR之一，默认REQUEST。用户可以设置多个
• 子元素用来指定 Filter 对资源的多种调用方式进行拦截。
• 子元素可以设置的值及其意义
  • REQUEST：当用户直接访问页面时，Web容器将会调用过滤器。如果目标资源是通过RequestDispatcher的include()或forward()方法访问时，那么该过滤器就不会被调用。
  • INCLUDE：如果目标资源是通过RequestDispatcher的include()方法访问时，那么该过滤器将被调用。除此之外，该过滤器不会被调用。
  • FORWARD：如果目标资源是通过RequestDispatcher的forward()方法访问时，那么该过滤器将被调用，除此之外，该过滤器不会被调用。
  • ERROR：如果目标资源是通过声明式异常处理机制调用时，那么该过滤器将被调用。除此之外，过滤器不会被调用。

Cookie处理

Cookie是存储在客户机的文本文件，它们保存了大量轨迹信息。在servlet技术基础上，JSP显然能够提供对HTTP cookie的支持。

通常有三个步骤来识别回头客：

• 服务器脚本发送一系列cookie至浏览器。比如名字，年龄，ID号码等等。
• 浏览器在本地机中存储这些信息，以备不时之需。
• 当下一次浏览器发送任何请求至服务器时，它会同时将这些cookie信息发送给服务器，然后服务器使用这些信息来识别用户或者干些其它事情。

Cookie 剖析

HTTP/1.1 200 OK
Date: Fri, 04 Feb 2015 21:03:38 GMT
Server: Apache/1.3.9 (UNIX) PHP/4.0b3
Set-Cookie: name=runoob; expires=Friday, 04-Feb-07 22:03:38 GMT; 
                 path=/; domain=runoob.com
Connection: close
Content-Type: text/html

Set-Cookie信息头包含一个键值对，一个GMT（格林尼治标准）时间，一个路径，一个域名。键值对会被编码为URL。有效期域是个指令，告诉浏览器在什么时候之后就可以清除这个cookie。
如果浏览器被配置成可存储cookie，那么它将会保存这些信息直到过期。如果用户访问的任何页面匹配了cookie中的路径和域名，那么浏览器将会重新将这个cookie发回给服务器。

Servlet Cookie 方法

• public void setDomain(String pattern)
  设置cookie的域名，比如w3cschool.cc
• public String getDomain()
  获取cookie的域名，比如w3cschool.cc
• public void setMaxAge(int expiry)
  设置cookie有效期，以秒为单位，默认有效期为当前session的存活时间
• public int getMaxAge()
  获取cookie有效期，以秒为单位，默认为-1 ，表明cookie会活到浏览器关闭为止
• public String getName()
  返回 cookie的名称，名称创建后将不能被修改
• public void setValue(String newValue)
  设置 cookie的值
• public String getValue()
  获取cookie的值
• public void setPath(String uri)
  设置cookie 的路径，默认为当前页面目录下的所有URL，还有此目录下的所有子目录
• public String getPath()
  获取cookie 的路径
• public void setSecure(boolean flag)
  指明cookie是否要加密传输
• public void setComment(String purpose)
  设置注释描述 cookie的目的。当浏览器将cookie展现给用户时，注释将会变得非常有用
• public String getComment()
  返回描述cookie目的的注释，若没有则返回null

使用JSP设置Cookie
使用JSP设置cookie包含三个步骤：
(1)创建一个Cookie对象： 调用Cookie的构造函数，使用一个cookie名称和值做参数，它们都是字符串。

Cookie cookie = new Cookie("key","value");

请务必牢记，名称和值中都不能包含空格或者如下的字符：[ ] ( ) = , " / ? @ : ;
(2) 设置有效期：调用setMaxAge()函数表明cookie在多长时间（以秒为单位）内有效。下面的操作将有效期设为了24小时。

cookie.setMaxAge(60*60*24);

(3) 将cookie发送至HTTP响应头中：调用response.addCookie()函数来向HTTP响应头中添加cookie。

response.addCookie(cookie);

Session

HTTP是无状态协议，这意味着每次客户端检索网页时，都要单独打开一个服务器连接，因此服务器不会记录下先前客户端请求的任何信息。

有三种方法来维持客户端与服务器的会话：

1. Cookies
   网络服务器可以指定一个唯一的session ID作为cookie来代表每个客户端，用来识别这个客户端接下来的请求。
   这可能不是一种有效的方式，因为很多时候浏览器并不一定支持cookie，所以我们不建议使用这种方法来维持会话。
2. 隐藏表单域
   一个网络服务器可以发送一个隐藏的HTML表单域和一个唯一的session ID，就像下面这样：

这个条目意味着，当表单被提交时，指定的名称和值将会自动包含在GET或POST数据中。每当浏览器发送一个请求，session_id的值就可以用来保存不同浏览器的轨迹。
这种方式可能是一种有效的方式，但点击标签中的超链接时不会产生表单提交事件，因此隐藏表单域也不支持通用会话跟踪。

3. 重写URL
   可以在每个URL后面添加一些额外的数据来区分会话，服务器能够根据这些数据来关联session标识符。举例来说，http://w3cschool.cc/file.htm;sessionid=12345， session标识符为sessionid=12345，服务器可以用这个数据来识别客户端。
   相比而言，重写URL是更好的方式来，就算浏览器不支持cookies也能工作，但缺点是您必须为每个URL动态指定session ID，就算这是个简单的HTML页面。

session对象
除了以上几种方法外，JSP利用servlet提供的HttpSession接口来识别一个用户，存储这个用户的所有访问信息。
默认情况下，JSP允许会话跟踪，一个新的HttpSession对象将会自动地为新的客户端实例化。禁止会话跟踪需要显式地关掉它，通过将page指令中session属性值设为false来实现，就像下面这样：

<%@ page session="false" %>

JSP引擎将隐含的session对象暴露给开发者。由于提供了session对象，开发者就可以方便地存储或检索数据。
下表列出了session对象的一些重要方法：

• public Object getAttribute(String name)
  返回session对象中与指定名称绑定的对象，如果不存在则返回null
• public Enumeration getAttributeNames()
  返回session对象中所有的对象名称
• public long getCreationTime()
  返回session对象被创建的时间， 以毫秒为单位，从1970年1月1号凌晨开始算起
• public String getId()
  返回session对象的ID
• public long getLastAccessedTime()
  返回客户端最后访问的时间，以毫秒为单位，从1970年1月1号凌晨开始算起
• public int getMaxInactiveInterval()
  返回最大时间间隔，以秒为单位，servlet 容器将会在这段时间内保持会话打开
• public void invalidate()
  将session无效化，解绑任何与该session绑定的对象
• public boolean isNew()
  返回是否为一个新的客户端，或者客户端是否拒绝加入session
• public void removeAttribute(String name)
  移除session中指定名称的对象
• public void setAttribute(String name, Object value)
  使用指定的名称和值来产生一个对象并绑定到session中
• public void setMaxInactiveInterval(int interval)
  用来指定时间，以秒为单位，servlet容器将会在这段时间内保持会话有效