javaweb之Cookie和Session简单入门
一、会话
1.定义：
用户打开浏览器—使用浏览器—到关闭的整个过程。
2.会话跟踪：
是web程序中常用的技术，用来跟踪用户的整个会话，常用的会话跟踪技术是Cookie与Session 。Cookie通过在客户端记录信息确定用户身份，Session通过在服务器端记录信息确定用户身份。
二、Cookie机制
一个用户的所有请求操作都应该属于同一个会话。
1.web应用程序：
是使用HTTP协议传输数据。HTTP协议是无状态的协议，一旦数据交换完毕，客户端与服务器端的连接就会关闭，再次交换数据需要建立新的连接，这就是意味着服务器无法从连接上跟踪会话
2.cookie工作原理：
给客户端们办法一个通行证，每人一个，无论谁访问都必须携带自己通行证，这样服务器就能从通行证上确认客户身份了
（1）浏览器端第一次发送请求到服务器端
（2）服务器端创建Cookie，该Cookie中包含用户的信息，然后将该Cookie发送到浏览器端
（3）浏览器端再次访问服务器端时会携带服务器端创建的Cookie
（4）服务器端通过Cookie中携带的数据区分不同的用户
3.实操
- 给cookie一个名字， Cookie cookie=new Cookie(“lastLoginTime”,System.currentTimeMillis()+“”);
public class ServletContext06 extends HttpServlet {
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
//服务器告诉你，你第一次来把时间封装成一个信件，下次带着信件访问服务器就知道是你来了
//解决文中乱码
req.setCharacterEncoding("utf-16");
resp.setCharacterEncoding("utf-16");
//创建一个输出流对象
PrintWriter out=resp.getWriter();
//Cookie是服务器从客户端获取到的
Cookie[] cookies=req.getCookies();//可能获取到多个Cookie
//判断Cookie是否存在
if (cookies!=null){
out.write("你上一次访问的时间是：");
for (int i=0;i<cookies.length;i++){
Cookie cookie=cookies[i];
//判断cookie的名字是否是lastLoginTime，为了找到指定的cookie
if (cookie.getName().equals("lastLoginTime")){
//获取cookie的值
long lastLoginTime=Long.parseLong(cookie.getValue());
Date date=new Date(lastLoginTime);
out.write(date.toLocaleString());
}
}
}else{
out.write("这是你第一次访问本网站");
}
//服务器给客户端响应一个新cookie，名字叫做lastLoginTime
Cookie cookie=new Cookie("lastLoginTime",System.currentTimeMillis()+"");
resp.addCookie(cookie);
}
}
- 设置cookie有效期，浏览器关掉也还有效
//cookie有效期为1天
cookie.setMaxAge(24*60*60);
4.一个浏览器中cookie的上限
- 一个cookie只能保存一个信息
- 一个web站点可以给浏览器发送多个cookie，最多存放20个
- cookie大小限制4kb
- 一个浏览器上限有300个cookie
5.删除cookie
- 不设置有效期，关闭浏览器自动失效
- 设置有效期时间为0
三、session机制
Session域就是另一种会话技术，也叫做服务器端技术。Session的底层也是基于Cookie的，只不过有自己的改变。
- 服务器会给每一个用户(浏览器)创建一个session对象
- 一个session独占一个浏览器，只要浏览器没关，session就存在
- 用户登录后，整个网站都可以访问——》能保存用户信息，保存购物车信息
1.session工作原理
（1）浏览器端第一次发送请求到服务器端，服务器端创建一个Session，同时会创建一个特殊的Cookie（name为jessionID(好像是cookieID一样的唯一标识的东西)的固定值，value为session对象的ID），然后将该Cookie发送至浏览器端
（2）浏览器端发送第N（N>1）次请求到服务器端,浏览器端访问服务器端时就会携带该name为jessionID的Cookie对象
（3）服务器端根据name为jessionID的Cookie的value(sessionID),去查询Session对象，从而区分不同用户。
name为jessionID的Cookie不存在（关闭或更换浏览器），返回1中重新去创建Session与特殊的Cookie
name为jessionID的Cookie存在，根据value中的SessionId去寻找session对象。
value为SessionId不存在（Session对象默认存活30分钟），返回1中重新去创建Session与特殊的Cookie
value为SessionId存在，返回session对象
Session的工作原理图
2.实操
- 创建一个session：session创建的时候同时创建了一个JESSIONID为键、以sessionID为值的cookie
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
//解决文中乱码
req.setCharacterEncoding("utf-16");
resp.setCharacterEncoding("utf-16");
resp.setContentType("utf-16");
//得到session
HttpSession session=req.getSession();
//给session存东西
session.setAttribute("name","manman");
//获取sessionID
String sessionId=session.getId();
//判断session是否新建
if (session.isNew()){
resp.getWriter().write("session创建成功。ID："+sessionId);
}else {
resp.getWriter().write("session已经在服务器存在。ID："+sessionId);
}
//session创建的时候做了什么事
Cookie cookie=new Cookie("JESSIONID",sessionId);
resp.addCookie(cookie);
}
- session中可以保存任何东西，并且是所有网页共享的
//网页1——保存一个对象
//得到session
HttpSession session=req.getSession();
//给session存东西
session.setAttribute("name",new GetServlet("manamnzi",1));
//网页2——读取对象
HttpSession session=req.getSession();
GetServlet name=(GetServlet)session.getAttribute("name");
System.out.println(name.toString());
- 注销session，一旦注销，再生成就是新的sessionID
//手动注销
session.removeAttrbute("name");
session.invalidate();
//设置session默认的失效时间——在web.xml中
<session-config>
<!--15分钟后自动失效,以分钟为单位-->
<session-timeout>15</session-timeout>
</session-config>
四、cookie和session的区别
1.安全性对比
session
简单的说，当你登陆一个网站的时候，如果web服务器端使用的是session，那么所有的数据都保存在服务器上，客户端每次请求服务器的时候会发送当前会话sessionid，服务器根据当前sessionid判断相应的用户数据标志，以确定用户是否登陆或具有某种权限。由于数据是存储在服务器上面，所以你不能伪造。
cookie
sessionid是服务器和客户端连接时候随机分配的，如果浏览器使用的是cookie，那么所有数据都保存在浏览器端，比如你登陆以后，服务器设置了cookie用户名，那么当你再次请求服务器的时候，浏览器会将用户名一块发送给服务器，这些变量有一定的特殊标记。服务器会解释为cookie变量，所以只要不关闭浏览器，那么cookie变量一直是有效的，所以能够保证长时间不掉线。
如果你能够截获某个用户的cookie变量，然后伪造一个数据包发送过去，那么服务器还是 认为你是合法的。所以，使用cookie被攻击的可能性比较大。
如果cookie设置了有效值，那么cookie会保存到客户端的硬盘上，下次在访问网站的时候，浏览器先检查有没有cookie，如果有的话，读取cookie，然后发送给服务器。
所以你在机器上面保存了某个论坛cookie，有效期是一年，如果有人入侵你的机器，将你的cookie拷走，放在他机器下面，那么他登陆该网站的时候就是用你的身份登陆的。当然，伪造的时候需要注意，直接copy cookie文件到 cookie目录，浏览器是不认的，他有一个index.dat文件，存储了 cookie文件的建立时间，以及是否有修改，所以你必须先要有该网站的 cookie文件，并且要从保证时间上骗过浏览器
两个都可以用来存私密的东西，session过期与否，取决于服务器的设定。cookie过期与否，可以在cookie生成的时候设置进去。
2.区别对比
- cookie数据存放在客户的浏览器上，session数据放在服务器上
- cooike不是很安全，别人可以分析存放在本地的cooike并进行cooike欺骗，考虑到安全应当使用session
- session会在一定时间内保存在服务器上，当访问增多，会比较占用你的服务器性能，考虑减轻服务器性能方面应该使用cooike
- 单个cooike保存的数据不能超过4k，很多浏览器都限制一个站点最多保存20个cooike
- 将登陆信息等重要信息存放在session
- 其他信息如果需要保留可以存在cooike中
五、Request域、ServletContext域、pageContext域、Cookie域、Session域的区别是什么？
用在网上购买东西这个案例来剖析这个问题。
1.request域：表示的是一次请求范围内。
如果说，我要去购买一件上衣向服务器发送一个购买请求，它返回给我一个购买成功的响应；当我再去购买一个裤子的时候就相当于又一个请求，那么这时候用转发的话当然就不行了，如果用重定向的话可以解决这个问题，只不过比较麻烦。然后把里面所购买的上衣的数据从request域拿出来和第二个请求拼接在一起在存入request域中。
但是当我要去结算的，就是在另一个Servlet中，这个时候我的request域中的数据就会全部丢失。具体如下图所示：
2.ServletContext域和pageContext域：
这两个域在我看来没有本质上的区别，可以理解为服务器端的共享空间。只不过说，ServletContext域表示的是整个web服务，而pageContext域表示的是一次请求。
如果说，我要购买一件上衣，向服务器发送一个请求，服务器返回给我一个购买成功的请求 ，同样的再去购买一条裤子也是一样的。看来一切都是正常的，结算也可以去结算界面结算我的总金额。
但是，我要说的是，因为这是一个购物界面，所以就不会只是你一个用户。因为这是一个服务器端的共享空间，所以当别人也去购买东西添加购物车后，你去结算的时候就包括自己和别人共同的东西。具体如下图所示：
3.cookie域
同样去买一件上衣，这个时候就会把上衣这个对象存入的开辟的Cookie空间中， Cookie空间为此对象绑定一个唯一的标识然后以响应头方式返回给客户端，当再去购买裤子的时候会带着这个唯一标识以请求头的方式存入到Cookie空间中，同时为它绑定唯一的标识。因为Cookie域保存在自己浏览器内部，与别人互不干扰，但因为是客户端技术，所以安全性不高。具体如下图所示：
4.session域
和Cookie一样，去买一件上衣，这个时候就会把上衣这个对象存入的开辟的Session空间中， Session空间为此对象生成一个唯一的Key值，当再去购买裤子的时候会带着这个唯一的Key值存入到Cookie空间中，同时为它绑定唯一的Key值。因为Session域同样保存在自己浏览器内部，与别人互不干扰，它相较于Cookie而言是服务器技术，较安全。具体如下图所示：
