session学习总结【session原理、应用、与cookie区别】

session原理

session也是一种记录浏览器状态的机制，但与cookie不同的是，session是保存在服务器中。

由于http是无状态协议，当服务器存储了多个用户的session数据时，如何确认http请求对应服务器上哪一条session，相当关键。这也是session原理的核心内容。

解决方法：服务器向客户端发送一条名为JESSIONID的cookie，它的值是session的id值。通过JESSIONID可以识别http请求对应哪一个用户。原理图如下所示：

问题来源：session自动维护的cookie的maxAge值为-1，这导致，浏览器关闭之后，存储JESSIONID的cookie会消失，服务器接收不到sessionid，session便会失效。

解决方法：与cookie共同使用。手动创建名为JESSIONID的cookie，通过session.getId()获取sessionid，存入cookie，并设置maxAge。

代码如下：

Cookie cookie = new Cookie("JSESSIONID",session.getId());

cookie.setMaxAge(30*60);

cookie.setPath("/"); // 必须是根路径

response.addCookie(cookie);

经过实践，这样做有效。重启浏览器后，session依然可用。

业务场景(重复提交的危害)：

解决方法：

目的：防止暴力破解密码

实现方法：

存储
- Cookie只能存储字符串，若要存储非ASCII字符，还需要对其编码；
- Session可以存储任何类型数据。
隐私
- Cookie内容对客户端可见；
- Session对客户端不可见。
有效期
- Cookie通过maxAge设置有效时间；
- Session通过maxInactiveInterval属性设置有效时间；除此之外，存储JESSIONID的cookie有效期与session息息相关。
对服务器的负担
- Session是保存在服务器的，每个用户都会产生一个Session，如果是并发访问的用户非常多，是不能使用Session的，Session会消耗大量的内存；
- Cookie是保存在客户端的。不占用服务器的资源。像baidu、Sina这样的大型网站，一般都是使用Cookie来进行会话跟踪。
浏览器的支持
- 浏览器有权选择是否禁用cookie；
- 若禁用cookie，session可以通过URL地址重写来进行会话跟踪。
跨域名上
- Cookie可以通过设置domain属性来实现跨域名；
- Session只在当前域名内有效。

本文和上一篇cookie博客主要来源与对以下技术博客的学习，当然不乏自己的思考、实践和提炼。