【JavaWeb】Cookie和Session

1. 会话跟踪技术概述

对于会话跟踪这四个词，我们需要拆开来进行解释，首先要理解什么是会话，然后再去理解什么是会话跟踪:

• 会话:用户打开浏览器，访问web服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含多次请求和响应。

  • 从浏览器发出请求到服务端响应数据给前端之后，一次会话(在浏览器和服务器之间)就被建立了
  • 会话被建立后，如果浏览器或服务端都没有被关闭，则会话就会持续建立着
  • 浏览器和服务器就可以继续使用该会话进行请求发送和响应，上述的整个过程就被称之为会话。

  用实际场景来理解下会话，比如在我们访问京东的时候，当打开浏览器进入京东首页后，浏览器和京东的服务器之间就建立了一次会话，后面的搜索商品,查看商品的详情,加入购物车等都是在这一次会话中完成。

思考:下图中总共建立了几个会话?
每个浏览器都会与服务端建立了一个会话，加起来总共是3个会话。
浏览器访问服务器，只要是浏览器没有关闭，都算一次会话，一次会话可以发送多次请求。

会话跟踪:一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据。

• 服务器会收到多个请求，这多个请求可能来自多个浏览器，如上图中的6个请求来自3个浏览器
• 服务器需要用来识别请求是否来自同一个浏览器
• 服务器用来识别浏览器的过程，这个过程就是会话跟踪
• 服务器识别浏览器后就可以在同一个会话中多次请求之间来共享数据

那么我们又有一个问题需要思考，一个会话中的多次请求为什么要共享数据呢? 有了这个数据共享功能后能实现哪些功能呢?

• 购物车: 加入购物车和去购物车结算是两次请求，但是后面这次请求要想展示前一次请求所添加的商品，就需要用到数据共享。

通过上个例子的讲解，相信大家对会话追踪技术已经有了一定的理解，该技术在实际开发中也非常重要。那么接下来我们就需要去学习下会话跟踪技术，在学习这些技术之前，我们需要思考:为什么现在浏览器和服务器不支持数据共享呢?

• 浏览器和服务器之间使用的是HTTP请求来进行数据传输
• HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求
• HTTP协议设计成无状态的目的是让每次请求之间相互独立，互不影响
• 请求与请求之间独立后，就无法实现多次请求之间的数据共享

分析完具体的原因后，那么该如何实现会话跟踪技术呢? 具体的实现方式有:

(1)客户端会话跟踪技术：Cookie

(2)服务端会话跟踪技术：Session

这两个技术都可以实现会话跟踪，它们之间最大的区别:Cookie是存储在浏览器端而Session是存储在服务器端

小结

在这节中，我们主要介绍了下什么是会话和会话跟踪技术，需要注意的是:

• HTTP协议是无状态的，靠HTTP协议是无法实现会话跟踪
• 想要实现会话跟踪，就需要用到Cookie和Session

2. Cookie

2.1 Cookie的基本使用

1.概念

Cookie：客户端会话技术，将数据保存到客户端，以后每次请求都携带Cookie数据进行访问。

2.Cookie的工作流程

• 服务端提供了两个Servlet，分别是ServletA和ServletB
• 浏览器发送HTTP请求1给服务端，服务端ServletA接收请求并进行业务处理
• 服务端ServletA在处理的过程中可以创建一个Cookie对象并将name=zs的数据存入Cookie
• 服务端ServletA在响应数据的时候，会把Cookie对象响应给浏览器
• 浏览器接收到响应数据，会把Cookie对象中的数据存储在浏览器内存中，此时浏览器和服务端就建立了一次会话
• 在同一次会话中浏览器再次发送HTTP请求2给服务端ServletB，浏览器会携带Cookie对象中的所有数据
• ServletB接收到请求和数据后，就可以获取到存储在Cookie对象中的数据，这样同一个会话中的多次请求之间就实现了数据共享

3.Cookie的基本使用

对于Cookie的使用，我们更关注的应该是后台代码如何操作Cookie，对于Cookie的操作主要分两大类，本别是发送Cookie和获取Cookie,对于上面这两块内容，分别该如何实现呢?

3.1 发送Cookie

• 创建Cookie对象，并设置数据

Cookie cookie = new Cookie("key","value");

• 发送Cookie到客户端：使用response对象

response.addCookie(cookie);

2.2 代码实现

发送Cookie

@WebServlet("/sendServlet")
public class SendServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        //创建cookie对象设置数据
        Cookie cookie = new Cookie("username", “zs”);

        //发送cookie到客户端：使用response对象
        response.addCookie(cookie);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

接收Cookie

@WebServlet("/getServlet")
public class GetServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        Cookie[] cookies = request.getCookies();
        for(Cookie cookie:cookies){
            String uesrname = cookie.getName();
            if("username".equals(uesrname)){
                String value = cookie.getValue();
                System.out.println(uesrname+","+value);
            }
        }
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

小结

在这节中，我们主要讲解了Cookie的基本使用,包含两部分内容

• 发送Cookie:
  • 创建Cookie对象，并设置值:Cookie cookie = new Cookie(“key”,“value”);
  • 发送Cookie到客户端使用的是Reponse对象:response.addCookie(cookie);
• 获取Cookie:
  • 使用Request对象获取Cookie数组:Cookie[] cookies = request.getCookies();
  • 遍历数组
  • 获取数组中每个Cookie对象的值:cookie.getName()和cookie.getValue()

2.3 Cookie原理分析

对于Cookie的实现原理是基于HTTP协议的,其中设计到HTTP协议中的两个请求头信息:

• 响应头:set-cookie
• 请求头: cookie

• 前面的案例中已经能够实现，AServlet给前端发送Cookie,BServlet从request中获取Cookie的功能
• 对于AServlet响应数据的时候，Tomcat服务器都是基于HTTP协议来响应数据
• 当Tomcat发现后端要返回的是一个Cookie对象之后，Tomcat就会在响应头中添加一行数据Set-Cookie:username=zs
• 浏览器获取到响应结果后，从响应头中就可以获取到Set-Cookie对应值username=zs,并将数据存储在浏览器的内存中
• 浏览器再次发送请求给BServlet的时候，浏览器会自动在请求头中添加Cookie: username=zs发送给服务端BServlet
• Request对象会把请求头中cookie对应的值封装成一个个Cookie对象，最终形成一个数组
• BServlet通过Request对象获取到Cookie[]后，就可以从中获取自己需要的数据

2.4 Cookie的存活时间

(1)浏览器发送请求给AServlet,AServlet会响应一个存有usernanme=zs的Cookie对象给浏览器

(2)浏览器接收到响应数据将cookie存入到浏览器内存中

(3)当浏览器再次发送请求给BServlet,BServlet就可以使用Request对象获取到Cookie数据

(4)在发送请求到BServlet之前，如果把浏览器关闭再打开进行访问，BServlet能否获取到Cookie数据?

注意：浏览器关闭再打开不是指打开一个新的选显卡，而且必须是先关闭再打开，顺序不能变。

针对上面这个问题，通过演示，会发现，BServlet中无法再获取到Cookie数据，这是为什么呢?

• 默认情况下，Cookie存储在浏览器内存中，当浏览器关闭，内存释放，则Cookie被销毁

所以我们现在就遇到一个难题是如何将Cookie持久化存储?

Cookie其实已经为我们提供好了对应的API来完成这件事，这个API就是setMaxAge,

• 设置Cookie存活时间

 `setMaxAge(int seconds)`

2.5 Cookie存储中文

废话不多说，直接上代码。
简单来说就是设置的时候将中文进行url编码，获取的时候进行解码。

@WebServlet("/sendServlet")
public class SendServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        String value = "张三";
        //对中文进行URL编码
        value = URLEncoder.encode(value, "UTF-8");
        //创建cookie对象设置数据
        Cookie cookie = new Cookie("username", value);

        cookie.setMaxAge(60 * 60 * 24 * 7);//cookie存活一周

        //发送cookie到客户端：使用response对象
        response.addCookie(cookie);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

@WebServlet("/getServlet")
public class GetServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        Cookie[] cookies = request.getCookies();
        for(Cookie cookie:cookies){
            String uesrname = cookie.getName();
            if("username".equals(uesrname)){
                String value = cookie.getValue();
                //解码
                value = URLDecoder.decode(value, "UTF-8");
                System.out.println(uesrname+","+value);
            }
        }
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

小结

Cookie的使用细节中，我们讲了Cookie的存活时间和存储中文:

• 存活时间，需要掌握setMaxAage()API的使用

• 存储中文，需要掌握URL编码和解码的使用

3. Session

3.1 Session的基本使用

1.概念

Session：服务端会话跟踪技术：将数据保存到服务端。

• Session是存储在服务端而Cookie是存储在客户端
• 存储在客户端的数据容易被窃取和截获，存在很多不安全的因素
• 存储在服务端的数据相比于客户端来说就更安全

2.Session的工作流程

• 在服务端的AServlet获取一个Session对象，把数据存入其中
• 在服务端的BServlet获取到相同的Session对象，从中取出数据
• 就可以实现一次会话中多次请求之间的数据共享了
• 现在最大的问题是如何保证AServlet和BServlet使用的是同一个Session对象(在原理分析会讲解)?

3.Session的基本使用

在JavaEE中提供了HttpSession接口，来实现一次会话的多次请求之间数据共享功能。

具体的使用步骤为:

• 获取Session对象,使用的是request对象

HttpSession session = request.getSession();

Session对象提供的功能:

• 存储数据到 session 域中

  void setAttribute(String name, Object o)
  

• 根据 key，获取值

  Object getAttribute(String name)
  

• 根据 key，删除该键值对

  Object getAttribute(String value)
  

3.2 代码实现

创建Session

@WebServlet("/demo1")
public class Demo1 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        //存储到Session中
        //1. 获取Session对象
        HttpSession session = request.getSession();
        //2. 存储数据
        session.setAttribute("username1","zs");
        session.setAttribute("username2","ls");
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

获取Session

@WebServlet("/demo2")
public class Demo2 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        //存储到Session中
        //1. 获取Session对象
        HttpSession session = request.getSession();
        //2. 获取数据
        Object username1 = session.getAttribute("username1");
        Object username2 = session.getAttribute("username2");
        session.removeAttribute("username1");
        System.out.println(username1);
        System.out.println(username2);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

3.3 Session原理分析

• Session是基于Cookie实现的

这句话其实不太能详细的说明Session的底层实现，接下来，咱们一步步来分析下Session的具体实现原理:

(1)前提条件

Session要想实现一次会话多次请求之间的数据共享，就必须要保证多次请求获取Session的对象是同一个。

那么它们是一个对象么？要验证这个结论也很简单，只需要在上面案例中的两个Servlet中分别打印下Session对象

通过打印可以得到如下结论:

• 两个Servlet类中获取的Session对象是同一个
• 把demo1和demo2请求刷新多次，控制台最终打印的结果都是同一个

所以Session实现的也是一次会话中的多次请求之间的数据共享。

那么最主要的问题就来了，Session是如何保证在一次会话中获取的Session对象是同一个呢?

(1)demo1在第一次获取session对象的时候，session对象会有一个唯一的标识，假如是id:10

(2)demo1在session中存入其他数据并处理完成所有业务后，需要通过Tomcat服务器响应结果给浏览器

(3)Tomcat服务器发现业务处理中使用了session对象，就会把session的唯一标识id:10当做一个cookie，添加Set-Cookie:JESSIONID=10到响应头中，并响应给浏览器

(4)浏览器接收到响应结果后，会把响应头中的coookie数据存储到浏览器的内存中

(5)浏览器在同一会话中访问demo2的时候，会把cookie中的数据按照cookie: JESSIONID=10的格式添加到请求头中并发送给服务器Tomcat

(6)demo2获取到请求后，从请求头中就读取cookie中的JSESSIONID值为10，然后就会到服务器内存中寻找id:10的session对象，如果找到了，就直接返回该对象，如果没有则新创建一个session对象

(7)关闭打开浏览器后，因为浏览器的cookie已被销毁，所以就没有JESSIONID的数据，服务端获取到的session就是一个全新的session对象

至此，Session是基于Cookie来实现的这句话，我们就解释完了，接下来通过实例来演示下:

(1)使用chrome浏览器访问http://localhost:8080/cookie-demo/demo1,打开开发者模式(F12或Ctrl+Shift+I),查看==响应头(Response Headers)数据:

(2)使用chrome浏览器再次访问http://localhost:8080/cookie-demo/demo2，查看请求头(Request Headers)==数据:

小结

介绍完Session的原理，我们只需要记住

• Session是基于Cookie来实现的

3.3 Session的钝化与活化

小结

Session的钝化和活化介绍完后，需要我们注意的是:

• session数据存储在服务端，服务器重启后，session数据会被保存

• 浏览器被关闭启动后，重新建立的连接就已经是一个全新的会话，获取的session数据也是一个新的对象

• session的数据要想共享，浏览器不能关闭，所以session数据不能长期保存数据

• cookie是存储在客户端，是可以长期保存

3.4 Session的销毁

session的销毁会有两种方式:

• 默认情况下，无操作，30分钟自动销毁

  • 对于这个失效时间，是可以通过配置进行修改的

    • 在项目的web.xml中配置
      

调用Session对象的invalidate()进行销毁

• 在SessionDemo2类中添加session销毁的方法
  

4. Cookie和Session总结

Cookie和Session小结

• Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。

所需两个对象放在一块，就需要思考:

Cookie和Session的区别是什么?

Cookie和Session的应用场景分别是什么?

• 区别:
  • 存储位置：Cookie 是将数据存储在客户端，Session 将数据存储在服务端
  • 安全性：Cookie不安全，Session安全
  • 数据大小：Cookie最大3KB，Session无大小限制
  • 存储时间：Cookie可以通过setMaxAge()长期存储，Session默认30分钟
  • 服务器性能：Cookie不占服务器资源，Session占用服务器资源
• 应用场景:
  • 购物车:使用Cookie来存储
  • 以登录用户的名称展示:使用Session来存储
  • 记住我功能:使用Cookie来存储
  • 验证码:使用session来存储
• 结论
  • Cookie是用来保证用户在未登录情况下的身份识别
  • Session是用来保存用户登录后的数据