Servlet JSP Tutorial -- 1.3 Session Management in Java – HttpServlet, Cookies, URL Rewriting

àì夳堔傛蜴生んèń 2022-06-02 08:07 98阅读 0赞

Java中的会话管理 Servlet Web 应用程序是一个非常有趣的话题。Java Servlet 中的会话通过不同的方式进行管理，例如 Cookies、HttpSession API、URL 重写等。

这是 Java Web 应用程序教程系列中的第三篇文章，您可能还想看看前两篇文章。

1.  [Java Web Application Tutorial][]
2.  [Java Servlet Tutorial][]

## Session Management in Java ##

本文旨在用示例程序来解释 Servlet 中不同技术的会话管理。

1.  What is a Session?
2.  Session Management in Java – Cookies
3.  Session in Java Servlet – HttpSession
4.  Session Management in Java Servlet – URL Rewriting

### What is a Session? ###

HTTP 协议和 Web 服务器是无状态的，这意味着对于Web服务器来说，每个请求都一当作个新的请求来处理，并且不能确定它是否来自先前发送请求的客户端。

但有时在 Web 应用程序中，我们应该知道客户端是谁，并相应地处理请求。例如，购物车应用程序应该知道谁在发送添加项目的请求，以及在哪个购物车中必须添加项目，或者谁正在发送结账请求，以便它可以向客户端收取金额。

**Session** 是客户端和服务器之间的转换状态，它可以由客户端和服务器之间的多个请求和响应组成。由于 HTTP 和 Web 服务器都是无状态的，因此维护会话的唯一方法是在每个请求和响应中，在服务器和客户端之间传递有关会话（session id）的一些唯一信息。

有几种方法可以在请求和响应中提供唯一的标识符：

*  **User Authentication（用户身份验证这）** \- 是我们用户可以从登录页面提供身份验证凭证的常见方式，然后我们可以在服务器和客户端之间传递身份验证信息来维护会话。这不是非常有效的方法，因为如果同一用户从不同的浏览器登录，它将无法正常工作。
 *  **HTML Hidden Field（HTML隐藏字段）** \- 我们可以在HTML中创建一个独特的隐藏字段，当用户开始浏览时，我们可以为用户设置其唯一值，并跟踪会话。这个方法不能和链接一起使用，因为每次客户机和服务器之间都有隐藏字段的请求时，需要提交表单。另外它不安全，因为我们可以从HTML源获取隐藏字段值并使用它来破解会话。
 *  **URL Rewriting（URL重写）** \- 我们可以为每个请求和响应附加一个会话标识符参数以跟踪会话。这是非常乏味的，因为我们需要在每个响应中跟踪这个参数，并确保它不与其他参数冲突。
 *  **Cookies** \- Cookies 是 Web 服务器在响应头中发送的一小部分信息，并存储在浏览器 Cookies 中。当客户做出进一步的请求时，它会把 cookie 添加到请求标题中，我们可以利用它来跟踪会话。我们可以使用 cookies 保持会话，但是如果客户端禁用了cookie，它将不起作用。
 *  **Session Management API（会话管理 API）** \- 会话管理API建立在以上用于会话跟踪的方法之上。以上所有方法的一些主要缺点是：  
    
    
     *  大多数时候我们不想只跟踪会话，我们必须将一些数据存储到会话中，以便将来的请求使用。 如果我们试图实现这一点，很麻烦。
     *  上述所有方法本身并不完整，所有这些方法都不适用于特定的场景。所以我们需要一个解决方案，可以利用这些会话跟踪方法来提供所有情况下的会话管理。

这就是为什么我们需要 Session Management API 和 J2EE Servlet 技术附带我们可以使用的Session Management API。

### Session Management in Java – Cookies ###

Cookies 在网络应用程序中用于根据您的选择个性化响应或跟踪会话。在转到 Servlet Session Management API 之前，我想展示一下如何通过一个小型 Web 应用程序跟踪 cookie的会话。

我们将创建一个动态的 Web 应用程序 ServletCookieExample，其结构如下图所示。  
![这里写图片描述][SouthEast]

Web 应用程序的部署描述符 web.xml：

<?xml version="1.0" encoding="UTF-8"?>
    <web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd" version="3.1">
        <display-name>ServletCookieExample</display-name>
        <welcome-file-list>
            <welcome-file>login.html</welcome-file>
        </welcome-file-list>
    </web-app>

我们的应用程序的欢迎页面是 login.html，我们将从用户那里获取认证详细信息。

<!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Login Page</title>
    </head>
    <body>
    <form action="LoginServlet" method="post">
        Username: <input type="text" name="user">
        <br>
        Password: <input type="password" name="pwd">
        <br>
        <input type="submit" value="Login">
    </form>
    </body>
    </html>

这是处理登录请求的 LoginServlet。

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    import java.io.PrintWriter;
    
    import javax.servlet.RequestDispatcher;
    import javax.servlet.ServletException;
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    
    /** * Servlet implementation class LoginServlet */
    @WebServlet("/LoginServlet")
    public class LoginServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
        private final String userID = "Pankaj";
        private final String password = "journaldev";
    
        protected void doPost(HttpServletRequest request,
                              HttpServletResponse response) throws ServletException, IOException {
    
            // get request parameters for userID and password
            String user = request.getParameter("user");
            String pwd = request.getParameter("pwd");
    
            if(userID.equals(user) && password.equals(pwd)){
                Cookie loginCookie = new Cookie("user",user);
                //setting cookie to expiry in 30 mins
                loginCookie.setMaxAge(30*60);
                response.addCookie(loginCookie);
                response.sendRedirect("LoginSuccess.jsp");
            }else{
                RequestDispatcher rd = getServletContext().getRequestDispatcher("/login.html");
                PrintWriter out= response.getWriter();
                out.println("<font color=red>Either user name or password is wrong.</font>");
                rd.include(request, response);
            }
    
        }
    
    }

注意我们设置到响应的 Cookie，然后将其转发到 LoginSuccess.jsp，这个 cookie 将被用来跟踪会话。另外还要注意 Cookie 超时设置为30分钟。理想情况下，应该有一个复杂的逻辑来设置会话跟踪的 cookie 值，以便它不会与任何其他请求相冲突。

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Login Success Page</title>
    </head>
    <body>
    <% String userName = null; Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (cookie.getName().equals("user")) userName = cookie.getValue(); } } if (userName == null) response.sendRedirect("login.html"); %>
    <h3>Hi <%=userName %>, Login successful.</h3>
    <br>
    <form action="LogoutServlet" method="post">
        <input type="submit" value="Logout">
    </form>
    </body>
    </html>

注意，如果我们视图直接访问 JSP，它会将我们转到登陆页面。当我们点击注销按钮时，我们应确保从客户端浏览器中删除 Cookie。

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    
    import javax.servlet.ServletException;
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    
    /** * Servlet implementation class LogoutServlet */
    @WebServlet("/LogoutServlet")
    public class LogoutServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
    
        protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            response.setContentType("text/html");
            Cookie loginCookie = null;
            Cookie[] cookies = request.getCookies();
            if (cookies != null) {
                for (Cookie cookie : cookies) {
                    if (cookie.getName().equals("user")) {
                        loginCookie = cookie;
                        break;
                    }
                }
            }
            if (loginCookie != null) {
                loginCookie.setMaxAge(0);
                response.addCookie(loginCookie);
            }
            response.sendRedirect("login.html");
        }
    
    }

Servlet 中没有提供删除 Cookie 的方法，但我们可以将最大生命设置为0，以便它将立即从客户端浏览器中删除。  
实现结果如下图：  
![这里写图片描述][SouthEast 1]  
![这里写图片描述][SouthEast 2]

### Session in Java Servlet – HttpSession ###

Servlet API 通过 HttpSession 接口提供会话管理。我们可以使用以下方法从 HttpServletRequest 对象获取会话。HttpSession 允许我们将对象设置为可以在将来的请求中检索的属性。

*  **HttpSession getSession()** – 此方法始终返回一个 HttpSession 对象。 它返回附加了请求的会话对象，如果请求没有连接会话，则创建一个新的会话并返回它。
 *  **HttpSession getSession(boolean flag)** – 如果请求具有会话，则此方法返回 HttpSession 对象，否则返回 null。

HttpSession的一些重要方法：

*  **String getId()** – 返回包含分配给此会话的唯一标识符的字符串。
 *  **Object getAttribute(String name)** – 返回在此会话中使用指定名称绑定的对象，如果在名称下没有绑定任何对象，则返回 null。使用会话属性的其他一些方法是 getAttributeNames()、removeAttribute(String name) 和 setAttribute(String name, Object value)。
 *  **long getCreationTime()** – 返回此会话创建的时间，以1970年1月1日午夜以来的毫秒为单位。我们可以使用 getLastAccessedTime() 方法获取上次访问的时间。
 *  **setMaxInactiveInterval(int interval)** – 指定servlet容器使该会话失效之前，客户端请求之间的时间（以秒为单位）。我们可以从 getMaxInactiveInterval() 方法获取会话超时值。
 *  **ServletContext getServletContext()** – 返回应用程序的 ServletContext 对象。
 *  **boolean isNew()** – 如果客户端还不知道会话，或者客户端选择不加入会话，则返回true。
 *  **void invalidate()** – 使会话失效，然后解除绑定到它的所有对象。

### Understanding JSESSIONID Cookie ###

当我们使用 HttpServletRequest 的 getSession() 方法并创建一个新的请求时，它会创建新的 HttpSession 对象，并且将JSESSIONID 和 value 作为 session ID 添加到 Cookie 中再把 Cookie 添加到的响应对象中 。这个 Cookie 用来标识来自客户端的进一步请求中的 HttpSession 对象。如果 Cookie 在客户端处于禁用状态，并且正在使用 URL 重写，则此方法使用请求 URL 中的 jsessionid 值查找相应的会话。JSESSIONID Cookie 用于会话跟踪，所以我们不应该将它用于我们的应用程序目的，以避免任何会话相关的问题。

我们来看看使用 HttpSession 对象的会话管理的例子。 我们将在 IDEA 中创建一个动态Web项目，ServletHttpSessionExample 作为 Servlet 上下文。 项目结构将如下图所示。  
![这里写图片描述][SouthEast 3]  
login.html 与前面的示例相同，并定义为 web.xml 中的应用程序的欢迎页面

LoginServlet servlet 将创建会话并设置我们可以在其他资源或未来请求中使用的属性。

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    import java.io.PrintWriter;
    
    import javax.servlet.RequestDispatcher;
    import javax.servlet.ServletException;
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import javax.servlet.http.HttpSession;
    
    /** * Servlet implementation class LoginServlet */
    @WebServlet("/LoginServlet")
    public class LoginServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
        private final String userID = "admin";
        private final String password = "password";
    
        protected void doPost(HttpServletRequest request,
                              HttpServletResponse response) throws ServletException, IOException {
    
            // get request parameters for userID and password
            String user = request.getParameter("user");
            String pwd = request.getParameter("pwd");
    
            if (userID.equals(user) && password.equals(pwd)) {
                HttpSession session = request.getSession();
                session.setAttribute("user", "Pankaj");
                //setting session to expiry in 30 mins
                session.setMaxInactiveInterval(30 * 60);
                Cookie userName = new Cookie("user", user);
                userName.setMaxAge(30 * 60);
                response.addCookie(userName);
                response.sendRedirect("LoginSuccess.jsp");
            } else {
                RequestDispatcher rd = getServletContext().getRequestDispatcher("/login.html");
                PrintWriter out = response.getWriter();
                out.println("<font color=red>Either user name or password is wrong.</font>");
                rd.include(request, response);
            }
    
        }
    
    }

LoginSuccess.jsp 代码如下。

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Login Success Page</title>
    </head>
    <body>
    <% //allow access only if session exists String user = null; if (session.getAttribute("user") == null) { response.sendRedirect("login.html"); } else user = (String) session.getAttribute("user"); String userName = null; String sessionID = null; Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (cookie.getName().equals("user")) userName = cookie.getValue(); if (cookie.getName().equals("JSESSIONID")) sessionID = cookie.getValue(); } } %>
    <h3>Hi <%=userName %>, Login successful. Your Session ID=<%=sessionID %>
    </h3>
    <br>
    User=<%=user %>
    <br>
    <a href="CheckoutPage.jsp">Checkout Page</a>
    <form action="LogoutServlet" method="post">
        <input type="submit" value="Logout">
    </form>
    </body>
    </html>

当使用 JSP 资源时，容器会自动为它创建一个会话，所以我们不能检查会话是否为空，以确定用户是否经过了登录页面，所以我们使用 Session 属性来验证请求。

CheckoutPage.jsp 是另一个页面，代码如下。

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Checkout Page</title>
    </head>
    <body>
    <% //allow access only if session exists if(session.getAttribute("user") == null){ response.sendRedirect("login.html"); } String userName = null; String sessionID = null; Cookie[] cookies = request.getCookies(); if(cookies !=null){ for(Cookie cookie : cookies){ if(cookie.getName().equals("user")) userName = cookie.getValue(); } } %>
    <h3>Hi <%=userName %>, do the checkout.</h3>
    <br>
    <form action="LogoutServlet" method="post">
        <input type="submit" value="Logout" >
    </form>
    </body>
    </html>

我们的LogoutServlet代码如下。

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    
    /** * Servlet implementation class LogoutServlet */
    @WebServlet("/LogoutServlet")
    public class LogoutServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
    
        protected void doPost(HttpServletRequest request, HttpServletResponse response) throws IOException {
            response.setContentType("text/html");
            Cookie loginCookie = null;
            Cookie[] cookies = request.getCookies();
            if (cookies != null) {
                for (Cookie cookie : cookies) {
                    if (cookie.getName().equals("user")) {
                        loginCookie = cookie;
                        break;
                    }
                }
            }
            if (loginCookie != null) {
                loginCookie.setMaxAge(0);
                response.addCookie(loginCookie);
            }
            response.sendRedirect("login.html");
        }
    
    }

注意，我在日志中打印 JSESSIONID cookie 值，你可以在 LoginSuccess.jsp 中检查服务器日志将在哪里打印与 session ID 相同的值

下图显示了我们的Web应用程序的执行情况。  
![这里写图片描述][SouthEast 4]  
![这里写图片描述][SouthEast 5]  
![这里写图片描述][SouthEast 6]

### Session Management in Java Servlet – URL Rewriting ###

正如我们在上一节看到的那样，我们可以使用 HttpSession 来管理一个会话，但是如果我们在浏览器中禁用 cookie，它将不起作用，因为服务器不会从客户端接收到 JSESSIONID cookie。在这种情况下，Servlet API 提供了对 URL 重写的支持，我们可以使用它来管理会话。

最好的部分是从编码的角度来看，使用起来非常简单，只需要一个步骤 —— 对URL进行编码。 Servlet URL Encoding 的另一个好处是它是一个后备方法，只有在浏览器 cookies 被禁用的情况下才会启动。

我们可以使用 HttpServletResponse encodeURL() 方法编码URL，如果我们必须将请求重定向到另一个资源，并且我们想提供会话信息，我们可以使用 encodeRedirectURL() 方法。

我们将创建一个类似的项目，除了我们将使用URL重写方法来确保会话管理工作正常，即使在浏览器中禁用了 Cookie。

IDEA 中的 ServletSessionURLRewriting 项目结构如下图所示。  
![这里写图片描述][SouthEast 7]

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    import java.io.PrintWriter;
    
    import javax.servlet.RequestDispatcher;
    import javax.servlet.ServletException;
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import javax.servlet.http.HttpSession;
    
    /** * Servlet implementation class LoginServlet */
    @WebServlet("/LoginServlet")
    public class LoginServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
        private final String userID = "admin";
        private final String password = "password";
    
        protected void doPost(HttpServletRequest request,
                              HttpServletResponse response) throws ServletException, IOException {
    
            // get request parameters for userID and password
            String user = request.getParameter("user");
            String pwd = request.getParameter("pwd");
    
            if (userID.equals(user) && password.equals(pwd)) {
                HttpSession session = request.getSession();
                session.setAttribute("user", "Pankaj");
                //setting session to expiry in 30 mins
                session.setMaxInactiveInterval(30 * 60);
                Cookie userName = new Cookie("user", user);
                response.addCookie(userName);
                //Get the encoded URL string
                String encodedURL = response.encodeRedirectURL("LoginSuccess.jsp");
                response.sendRedirect(encodedURL);
            } else {
                RequestDispatcher rd = getServletContext().getRequestDispatcher("/login.html");
                PrintWriter out = response.getWriter();
                out.println("<font color=red>Either user name or password is wrong.</font>");
                rd.include(request, response);
            }
    
        }
    
    }

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Login Success Page</title>
    </head>
    <body>
    <% //allow access only if session exists String user = null; if (session.getAttribute("user") == null) { response.sendRedirect("login.html"); } else user = (String) session.getAttribute("user"); String userName = null; String sessionID = null; Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (cookie.getName().equals("user")) userName = cookie.getValue(); if (cookie.getName().equals("JSESSIONID")) sessionID = cookie.getValue(); } } else { sessionID = session.getId(); } %>
    <h3>Hi <%=userName %>, Login successful. Your Session ID=<%=sessionID %>
    </h3>
    <br>
    User=<%=user %>
    <br>
    
    <a href="<%=response.encodeURL("CheckoutPage.jsp") %>">Checkout Page</a>
    <form action="<%=response.encodeURL("/LogoutServlet") %>" method="post">
        <input type="submit" value="Logout">
    </form>
    </body>
    </html>

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title>Checkout Page</title>
    </head>
    <body>
    <% String userName = null; //allow access only if session exists if(session.getAttribute("user") == null){ response.sendRedirect("login.html"); }else userName = (String) session.getAttribute("user"); String sessionID = null; Cookie[] cookies = request.getCookies(); if(cookies !=null){ for(Cookie cookie : cookies){ if(cookie.getName().equals("user")) userName = cookie.getValue(); } } %>
    <h3>Hi <%=userName %>, do the checkout.</h3>
    <br>
    <form action="<%=response.encodeURL("/LogoutServlet") %>" method="post">
        <input type="submit" value="Logout" >
    </form>
    </body>
    </html>

package com.journaldev.servlet.session;
    
    import java.io.IOException;
    
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.Cookie;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import javax.servlet.http.HttpSession;
    
    /** * Servlet implementation class LogoutServlet */
    @WebServlet("/LogoutServlet")
    public class LogoutServlet extends HttpServlet { 
        private static final long serialVersionUID = 1L;
    
        protected void doPost(HttpServletRequest request, HttpServletResponse response) throws IOException {
            response.setContentType("text/html");
            Cookie[] cookies = request.getCookies();
            if (cookies != null) {
                for (Cookie cookie : cookies) {
                    if (cookie.getName().equals("JSESSIONID")) {
                        System.out.println("JSESSIONID=" + cookie.getValue());
                    }
                    cookie.setMaxAge(0);
                    response.addCookie(cookie);
                }
            }
            //invalidate the session if exists
            HttpSession session = request.getSession(false);
            System.out.println("User=" + session.getAttribute("user"));
            if (session != null) {
                session.invalidate();
            }
            //no encoding because we have invalidated the session
            response.sendRedirect("login.html");
        }
    
    }

当我们运行这个项目，在浏览器中禁用 Cookies 时，下面的图片显示了响应页面，注意浏览器地址栏的 URL 中的 jsessionid。 另请注意，在 LoginSuccess 页面上，用户名为空，因为浏览器在最后一个响应中没有发送 cookie。

![这里写图片描述][SouthEast 8]  
![这里写图片描述][SouthEast 9]  
![这里写图片描述][SouthEast 10]

如果 cookie 没有被禁用，你将不会在 URL 中看到 jsessionid，因为在这种情况下，Servlet 会话 API 将使用 cookie。

这就是所有用于 java servlet 中的会话管理，我们将在以后的文章中研究Servlet过滤器和 Listener 和 Cookies。

下一篇文章Servlet Filter。

[Java Web Application Tutorial]: http://blog.csdn.net/oktfolio/article/details/79008530
[Java Servlet Tutorial]: http://blog.csdn.net/oktfolio/article/details/79008535
[SouthEast]: /images/20220602/1283409eb8b445aca09a16ef4abd7c8e.png
[SouthEast 1]: /images/20220602/4a1a691c818243f78f62da57bf2a56df.png
[SouthEast 2]: /images/20220602/8379a3fffa7c4b6db8f699c2156c1b67.png
[SouthEast 3]: /images/20220602/18cb8f7d9e104d39981436bd4b4a8eda.png
[SouthEast 4]: /images/20220602/388031f6ea8940dfade9d4cefc193867.png
[SouthEast 5]: /images/20220602/8b7bd95673cb43f7b0a503bf0630c5a3.png
[SouthEast 6]: /images/20220602/3fe970958e714d72a4d1a948bc5289f0.png
[SouthEast 7]: /images/20220602/17430d0e05c04c8dabeae381ad0d1a76.png
[SouthEast 8]: /images/20220602/2bc9d980983942909a73a3da43c0e1bb.png
[SouthEast 9]: /images/20220602/749ba3698f8a4e3cadd38801219c36e1.png
[SouthEast 10]: /images/20220602/34fb0d153b544079bdc112f6bce35ead.png