一文快速回顾 Session 和 Cookie

绝地灬酷狼 2024-03-25 09:34 75阅读 0赞

### 前言 ###

在 Web 应用程序中（通俗点，可以理解成一个网站），Session 和 Cookie 是两个非常重要的概念，主要用于实现用户身份认证、数据传递等功能。今天就来讲讲这两个东西。

对于当时刚开始接触到这两个概念的我来说，这两个东西是非常模糊的，当然，这样也和我自己 Java 基础不牢固有关，导致在学习 Java Web 的过程中，埋下了许多地雷。现如今，从新梳理下，希望能给屏幕前的你带来收获。

本篇文章目标人群是学了后忘了的，学了后想要巩固的。当然，还没学，那就更好啦，直接看这一篇就够了！

### Session 的概念 ###

Session 是 Web 应用程序中的一种会话管理机制，用于存储和维护用户的会话状态。

**那问题来了，什么是「会话」？**

> 会话是指在用户与服务器之间的一系列请求和响应之间的交互过程。

当用户访问 Web 应用时，服务器会创建一个唯一的会话 ID，并将其存储在用户的浏览器中的 Cookie 中。在接下来的请求中，浏览器会将会话 ID 作为参数发送给服务器，以便服务器可以识别用户并将其请求与之前的请求相关联。

### 为什么会有 Session？ ###

由于 **HTTP 协议是无状态的**，当用户在网站中进行多次请求，服务器并不能判断这些请求是不是来自同一用户，所以出现了一种技术，这种技术称为「**会话跟踪技术**」。

会话跟踪技术就能解决这个问题。与无状态的通信相比，会话是一种有状态的通信，这种通信至少需要一方来维护当前的状态信息和历史信息。

而 **Session 就是其中一种会话跟踪技术**，当然，后面说的 Cookie 也是。

，并将 Session ID 存储在 Cookie 中或者 URL 参数中。

### Session 的原理 ###

Session 的原理是基于服务器端的存储和管理，因此相对来说比较安全。在用户访问 Web 应用程序时，服务器会为每个用户创建一个唯一的 Session ID，服务器会将 Session ID 和对应的会话状态存储在内存或者数据库中，同时也返回一份 Session ID 给浏览器，让浏览器存储在 Cookie 中，并在一定时间内保持有效。当用户进行后续的请求时，服务器会根据 Session ID 来识别用户，并获取和维护用户的会话状态。最后，当用户关闭浏览器或者超过一定时间没有活动时，服务器会自动销毁对应的 Session。

Session 的优点是安全性相对较高，存储容量可以存储任意数据类型，并且可以设置失效时间。但是它也存在一些缺点：

*  存储在服务器端，需要占用服务器资源（比如内存资源）
 *  失效时间短，一般只有数分钟或数小时
 *  难以跨域共享，不同域名的服务器无法共享 Session

### 代码如何写？ ###

**那服务器这边是怎样去存储和管理的呢？代码是怎样写的呢？**

在 Java Web 中，可以使用 Servlet API 中封装好的 Session 对象（HttpSession）来进行操作。

在Servlet API中，HttpSession 由 Servlet容器（比如 Tomcat）创建，它可以存储任意的 Java 对象，我们可以通过 `setAttribute()` 方法将对象绑定到 Session 中，之后通过 `getAttribute()` 方法获取绑定在 Session 中的对象。

也就是说，可以在一次会话的多次请求间共享数据，将数据保存在服务器端的对象中。

*  获取 Session 对象

我们可以通过 HttpServletRequest 的 getSession() 方法来获取 HttpSession 对象。如果 HttpSession 对象不存在，则会创建一个新的 Session 对象。

#### Session 常用方法 ####

以下是一些常用的 Session 对象的方法：

*  `setAttribute(String name, Object value)`：将一个名为 name，值为 value 的对象绑定到 Session 中。
 *  `getAttribute(String name)`：获取 Session 中绑定的名为 name 的对象。
 *  `removeAttribute(String name)`：从 Session 中删除名为 name 的对象。
 *  `getId()`：获取 Session 的唯一标识符。
 *  `getCreationTime()`：获取 Session 的创建时间。
 *  `getLastAccessedTime()`：获取 Session 的最后访问时间。
 *  `setMaxInactiveInterval(int interval)`：设置 Session 的最大不活动时间间隔，单位为秒。
 *  `getMaxInactiveInterval()`：获取 Session 的最大不活动时间间隔。

示例代码：

`SessionServlet`：

@WebServlet(name = "SessionServlet", urlPatterns = "/session")
    public class SessionServlet extends HttpServlet {
        @Override
        protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
            // 获取 Session 对象
            HttpSession session = req.getSession();
            // 将用户名存储到 Session 中
            session.setAttribute("username", req.getParameter("username"));
            // 重定向到另一个页面
            resp.sendRedirect("anotherPage.jsp");
        }
    
        @Override
        protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
            super.doPost(req, resp);
        }
    }

这里使用了 `@WebServlet` 来配置这个 Servlet，处理的请求映射的路径为 `/session`，主要进行了 Session 对象的相关操作，存储了用户信息，重定向到另一个页面，通过 Session，此时在另一个页面，就能够获取到存储的信息。

`anotherPage.jsp`

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <%@ page session="true" %>
    <html>
    <head>
        <title>这里是有Session的</title>
    </head>
    <body>
        <%
            String username = (String) session.getAttribute("username");
        %>
        <h2>从Session中获取的信息：<%=username%></h2>
    </body>
    </html>

#### 生成唯一 ID 返回给浏览器 ####

@WebServlet(name = "SessionIdServlet", urlPatterns = "/sessionId")
    public class SessionIdServlet extends HttpServlet {
        @Override
        protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
            HttpSession session = req.getSession();
            // 获取 SessionID
            String sessionId = session.getId();
            // 创建名为JSESSIONID的 Cookie
            Cookie cookie = new Cookie("JSESSIONID", sessionId);
            // 设置 Cookie 效时间为30分钟
            cookie.setMaxAge(30 * 60);
            // 将 Cookie 追加到响应中返回给浏览器
            resp.addCookie(cookie);
        }
    
        @Override
        protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
            super.doPost(req, resp);
        }
    }

通过浏览器向这个路径 `/sessionId` 发起请求，就会接收到服务器返回的响应，这里的响应就有我们进行处理的名为 JSESSIONID 的 Cookie

![bb20337917d94b0091412214af7105e0.png][]

### Cookie 的概念 ###

Cookie 和 Session 总是会被拿来比较的。Cookie 和 Session 都是用来跟踪浏览器用户身份的会话技术，或者说一种机制。它们都可以实现在多个页面之间共享用户的状态。

### Cookie 的原理 ###

Cookie 是一种在客户端（浏览器）保存数据的机制。

浏览器第一次发送请求到服务器，服务器就创建 Cookie（**上面的代码中我们写了**），该 Cookie 中包含着信息，可以是用户的信息（用户偏好设置、广告偏好），然将该 Cookie 发送到浏览器。

浏览器之后再次访问服务器时就会携带服务器创建的 Cookie，**这不需要我们做任何操作，不需要写任何代码，浏览器帮我们实现了在每一次的请求中都携带上 Cookie**。服务器端通过 Cookie 中携带的数据区分不同的用户。

Cookie 的优点是可以长时间保存，并且可以在客户端设置，但是它也存在一些缺点：

*  安全性相对较差，容易被不法分子获取
 *  存储容量有限，一般只能存储 ASCII 码
 *  失效时间可以设置，但是客户端可以随时清除 Cookie

### 总结 ###

Session 是一种服务器端的存储机制，它将用户状态信息存储在服务器上，每个用户都有一个独立的 Session。

在用户第一次访问服务器的时候，服务器会为其创建一个 Session，并将 Session ID 放到一个名为 JSESSIONID 的 Cookie 中发送给浏览器。

Cookie 是一种客户端（浏览器）存储机制，它将用户状态信息存储在客户端浏览器上。我们知道，用户第一次访问服务器的时候，服务器会将一些数据（比如 JSESSIONID）写入 Cookie 并发送给客户端，客户端在后续的请求中会将 Cookie 发送给服务器。

在存储容量方面，Cookie 的存储容量较小，一般只能存储 ASCII 码，而 Session 可以存储任意数据类型。在安全性方面，Session 相对于 Cookie 更加安全，因为 Session 存储在服务器，客户端无法直接访问。在跨域共享方面，Cookie 可以跨域共享，而 Session 只能在同一域名下共享。

### 最后的最后 ###

**最后，谢谢你看到这里，谢谢你认真对待我的努力，希望这篇博客对你有所帮助！**

**你轻轻地点了个赞，那将在我的心里世界增添一颗明亮而耀眼的星！**

[bb20337917d94b0091412214af7105e0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/9070c19c5c2b4eeabe52905d53648789.png