session存在哪里？如何实现以及session超时设置

末蓝、 2022-01-30 00:27 347阅读 0赞

sessionid是一个会话的key，浏览器第一次访问服务器会在服务器端生成一个session，有一个sessionid和它对应。tomcat生成的sessionid叫做jsessionid。  
session在访问tomcat服务器HttpServletRequest的getSession(true)的时候创建，tomcat的ManagerBase类提供创建sessionid的方法：随机数+时间+jvmid；

## session存储 ##

> 存储在服务器的内存中，tomcat的StandardManager类将session存储在内存中，也可以持久化到file，数据库，memcache，redis等。客户端只保存sessionid到cookie中，而不会保存session，session销毁只能通过invalidate或超时，关掉浏览器并不会关闭session。

## session创建 ##

那么Session在何时创建呢？当然还是在服务器端程序运行的过程中创建的，不同语言实现的应用程序有不同创建Session的方法，而在Java中是通过调用HttpServletRequest的getSession方法（使用true作为参数）创建的。在创建了Session的同时，服务器会为该Session生成唯一的Session id，而这个Session id在随后的请求中会被用来重新获得已经创建的Session；在Session被创建之后，就可以调用Session相关的方法往Session中增加内容了，而这些内容只会保存在服务器中，发到客户端的只有Session id；当客户端再次发送请求的时候，会将这个Session id带上，服务器接受到请求之后就会依据Session id找到相应的Session，从而再次使用之。

## session超时设置 ##

1.在web容器中设置（以tomcat为例）  
在tomcat-7.0\\conf\\web.xml中设置，以下是tomcat7.0中默认配置：

<session-config>
    <session-timeout>30</session-timeout>
    </session-config>

tomcat默认session超时时间为30分钟，可以根据需要修改，负数或0为不限制session失效时间

2.在工程的web.xml中设置

<session-config>
    <session-timeout>15</session-timeout>
    </session-config>

3.通过java代码设置  
**session.setMaxInactiveInterval(30\*60)**;//以秒为单位，即在没有活动30分钟后，session将失效

三种方式优先等级：1 < 2 < 3

这里要注意这个session设置的时间是根据服务器来计算的，而不是客户端。所以如果在调试程序，应该是修改服务器端时间来测试，而不是客户端

## 总结 ##

**创建**：sessionid第一次产生是在直到某server端程序调用 HttpServletRequest.getSession(true)这样的语句时才被创建。

**删除**：超时；程序调用HttpSession.invalidate()；程序关闭；