Session和Cookie区别介绍+面试题

古城微笑少年丶 2023-09-30 23:26 22阅读 0赞

> Session
> 
> 会话：
> 
>  *  对应的英文单词：session
>  *  用户打开浏览器，进行一系列操作，然后关闭浏览器。整个过程叫做一次会话
>  *  一个会话包含多次请求
> 
> session机制属于B/S结构的一部分，主要的作用就是为了保存会话状态。(用户登录成功后，将用户一直登录的状态保存到会话中)
> 
> 使用session机制的原因
> 
>  *  因为HTTP协议是一种无状态协议
>     
>      *  无状态：请求的时候，B和S是连接的，当请求结束后，连接断开。
>      *  可以降低服务器的压力。
>  *  为了保存会话状态，只能使用session。
>  *  不使用request和application的原因
>     
>      *  request的作用域太小：一次请求过后就销毁，再次请求，request对象不是同一个。
>      *  application的作用域太大：一个应用一个，浏览器打开~关闭，再打开一个浏览器，还是同一个application对象，不符合一次会话状态。
>  *  从浏览器打开到关闭，session对象都是同一个。

session的实现原理

图片描述：

![2b776363bd7b4740a88ee81796dccc14.png][]

文字描述：

1.  浏览器第一次访问服务端，服务端会生成一个对象以及对应的sessionId，将sessionId返回给浏览器
2.  浏览器拿到这个sessionId后，以cookie的形式保存sessionId
3.  下一次访问服务端的时候，自动将浏览器内存中的sessionId发送给服务端，服务端根据sessionId找到对应的session对象
4.  关闭浏览器后，内存消失，cookie消失，sessionId消失，会话结束

第一次访问，response中收到一个服务端返回的sessionId，以cookie的形式存储=7A

![f4e50802f4ac4305900bbad6fcbd62a9.png][]

下一次再访问的时候，会自动的将sessionId发送给服务端

![1cc9e0a4ed42463099f550032fe10153.png][]

> cookie禁用
> 
> 服务端正常向浏览器发送sessionId，但是浏览器拒收，所以浏览器器每次访问服务端，返回的session对象都是全新的。
> 
> 如果想在cookie禁用情况下，使用session机制：
> 
> 使用URL重写机制：[http://localhost:8080/testSession;jsessionid=E62524626BE76547D7287F6B7BB73239][http_localhost_8080_testSession_jsessionid_E62524626BE76547D7287F6B7BB73239]
> 
> 这样的成本较大，因为每次访问服务路径，都需要拼接一个sessionId。

> 总结
> 
>  *  session是保存在服务端的，由服务端负责创建
>     
>      *  创建的方法：
>         
>          *  request.getSession(); // 获取到一个session对象
>          *  request.getSession(false); // 会判断当前session是否存在，不存在返回的session对象是null
>  *  因为HTTP协议的B/S结构，浏览器关闭，服务端是不知道，所以session并不会销毁，当一段时间内session对象没人操作，这个session对象就会销毁，默认时间是30分钟。
>  *  一次会话：session创建~session销毁
>  *  session两种模式：
>     
>      *  手动销毁：服务端调用API：invalidate();
>      *  超时销毁：一段时间内没人操作session对象

> Cookie
> 
>  *  在session的实现原理中，每一个session对象都有一个对应的sessionId。
>  *  例如：JSESSIONID=5CB05924651451FD94F42011461CC4FB，这个键值对数据就是一个cookie实例。
>  *  只要浏览器不关闭，用户再次发起请求，浏览器会自动将"运行内存"中的cookie发送个服务端
>  *  服务端根据"5CB05924651451FD94F42011461CC4FB"这个值去找对应的session对象
>  *  cookie中的key 和 value都是字符串
> 
> 保存位置
> 
>  *  最终保存在浏览器客户端上
>  *  也可以保存在运行内存上【浏览器关闭后cookie就消失】
>  *  还可以保存在磁盘文件上【永久保存】
> 
> 作用
> 
>  *  cookie和session一样，都是为了保存会话状态

> java中操作cookie
> 
> 创建cookie实例：
> 
>     Cookie product = new Cookie("productId","1gaga3g23t32g");
>     Cookie user = new Cookie("name","admin");
> 
> 设置cookie的有效时间
> 
>  *  有效时间 > 0 该cookie写入到磁盘中。
>  *  有效时间 = 0 该cookie写入到磁盘中，覆盖之前设置的cookie，也可以理解为删除cookie
>  *  有效时间 < 0 该cookie会被保存到浏览器运行内存上
>  *  不设置 该cookie会被保存到浏览器运行内存上
> 
>     // 设置有效时间
>     product.setMaxAge(60 * 60);
> 
> 设置cookie关联的路径
> 
> 举例URL：[http://localhost:8080/cookie/create][http_localhost_8080_cookie_create]
> 
> 默认关联的路径为：http://localhost:8080/cookie/\*，这些路径浏览器都会自动发送cookie到服务端
> 
> 如果设置了关联路径，就以设置为主
> 
>     product.setPath("/cookie");
> 
> 返回cookie给浏览器
> 
>     response.addCookie(product);
> 
> 服务端获取cookie
> 
> 返回值为一个数组，当cookie获取不到时，返回null
> 
>     Cookie[] cookies = req.getCookies();
>     if (cookies != null) {
>         for (Cookie cookie : cookies) {
>             String name = cookie.getName();
>             String value = cookie.getValue();
>             System.out.println(name+"--"+value);
>         }
>     }

> ### 面试题 ###
> 
> #### cookie和session的区别 ####
> 
> 1.Session的定义：
> 
> Session对象是存储在服务器端的，主要用来存储用户会话所需的属性数据和配置数据。SessionlD需要存储在浏览器端，浏览器发送接口请求的时候需要带着这个SessionlD。
> 
> 2.Cookie的定义：
> 
> Cookie是一小段存储在浏览器端的文本数据，大小不超过4KB。
> 
> 某些网站采用Session机制识别用户的身份，通常也会将SessionlD存储在Cookie中。发送网络请求的时候，Cookie会在请求头里一起发送给服务器端。
> 
> #### 为什么需要cookie和session？ ####
> 
> Cookie 和 Session 是用来在客户端和服务器之间存储和维护状态信息的两种不同技术。
> 
> Cookie 是客户端存储的一小块数据，它会在客户端和服务器之间来回传递。Cookie 会被存储在浏览器的文件系统里，并且在浏览器发送请求的时候会自动携带这些数据。
> 
> Session 是在服务器端存储的一小块数据，它可以用来跟踪用户的状态。Session 数据存储在服务器端，并且由服务器端来维护。 客户端访问服务器时，服务器会根据客户端的请求来确定客户端的身份，并且为客户端分配一个session ID 。客户端每次请求时都会携带session ID ,服务器通过这个 session ID 来识别客户端并获取相应的 session 数据。
> 
> #### 详述 session 工作原理？ ####
> 
> Session 是一种在 Web 应用程序中跟踪用户状态的机制。当用户访问 Web 应用程序时，服务器会为该用户创建一个唯一的会话 ID，并将该 ID 存储在用户的浏览器中的 cookie 中。在用户与应用程序交互时，服务器会使用该会话 ID 来识别用户，并在服务器端存储与该用户相关的信息。这些信息可以包括用户的登录状态、购物车内容、浏览历史等。通过使用 session，Web 应用程序可以实现更高级的功能，如用户身份验证、数据持久化等。
> 
> ####  ####
> 
> #### 为什么说session 比cookie更安全？ ####
> 
> Cookie 是一种在用户计算机上存储数据的机制。Web 应用程序可以使用 Cookie 存储用户信息，例如用户 ID、偏好设置和购物车内容等。但是，Cookie 存储在用户计算机上，而且可以在客户端上被访问和修改，这使得 Cookie 更容易受到攻击和伪造，从而使其成为安全威胁。
> 
> 相比之下，Session 机制将数据存储在服务器端，并且仅在用户与 Web 应用程序交互时将其发送到客户端。用户无法访问或修改存储在服务器上的 Session 数据，这使得 Session 比 Cookie 更安全。此外，Web 应用程序可以使用 SSL/TLS 加密来保护传输过程中的 Session 数据，从而进一步增强安全性。
> 
> 总的来说，虽然 Cookie 与 Session 都用于 Web 应用程序中的用户跟踪，但 Session 更安全，因为它将数据存储在服务器端，而不是在用户计算机上存储，从而减少了安全风险。

[2b776363bd7b4740a88ee81796dccc14.png]: https://img-blog.csdnimg.cn/2b776363bd7b4740a88ee81796dccc14.png
[f4e50802f4ac4305900bbad6fcbd62a9.png]: https://img-blog.csdnimg.cn/f4e50802f4ac4305900bbad6fcbd62a9.png
[1cc9e0a4ed42463099f550032fe10153.png]: https://img-blog.csdnimg.cn/1cc9e0a4ed42463099f550032fe10153.png
[http_localhost_8080_testSession_jsessionid_E62524626BE76547D7287F6B7BB73239]: http://localhost:8080/testSession;jsessionid=E62524626BE76547D7287F6B7BB73239
[http_localhost_8080_cookie_create]: http://localhost:8080/cookie/create