会话跟踪技术基础（Cookie和Session）

一、会话跟踪技术的基本概念

1. 会话：用户打开浏览器，访问web服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含多次请求和响应。

   • 从浏览器发出请求到服务端响应数据给前端之后，一次会话(在浏览器和服务器之间)就被建立了，会话被建立后，如果浏览器或服务端都没有被关闭，则会话就会持续建立着，浏览器和服务器就可以继续使用该会话进行请求发送和响应，上述的整个过程就被称之为会话。
     
     上图：每个浏览器都会与服务端建立了一个会话，加起来总共是3个会话

2. 会话跟踪：一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间共享数据。

   • 服务器会收到多个请求，这多个请求可能来自多个浏览器，如上图中的6个请求来自3个浏览器，
   • 服务器需要识别不同的请求是否来自同一个浏览器服务器，
   • 服务器用来识别浏览器的这个过程就是会话跟踪；
   • 服务器识别浏览器后就可以在同一个会话中多次请求之间来共享数据

3. 为什么浏览器和服务器不支持数据共享呢

   • 浏览器和服务器之间使用的是HTTP请求来进行数据传输
   • HTTP协议是无状态的，每次浏览器向服务器请求时，服务器都会将该请求视为新的请求
   • HTTP协议设计成无状态的目的是让每次请求之间相互独立，互不影响
   • 请求与请求之间独立后，就无法实现多次请求之间的数据共享

4. 该如何实现会话跟踪技术呢?

   • (1)客户端会话跟踪技术：Cookie
   • (2)服务端会话跟踪技术：Session

5. 这两个技术都可以实现会话跟踪，它们之间最大的区别:

   • Cookie是存储在浏览器端
   • Session是存储在服务器端

一、1、Cookie的基本使用

1. 概念：客户端会话技术，将数据保存到客户端，以后每次请求都携带Cookie数据进行访问。
   

2. 工作流程：

   • 服务端提供了两个Servlet，分别是ServletA和ServletB
   • 浏览器发送HTTP请求1给服务端，服务端ServletA接收请求并进行业务处理
   • 服务端ServletA在处理的过程中可以创建一个Cookie对象并将name=zs的数据存入Cookie
   • 服务端ServletA在响应数据的时候，会把Cookie对象响应给浏览器
   • 浏览器接收到响应数据，会把Cookie对象中的数据存储在浏览器内存中，此时浏览器和服务端就建立了一次会话
   • 在同一次会话中浏览器再次发送HTTP请求2给服务端ServletB，浏览器会携带Cookie对象中的所有数据
   • ServletB接收到请求和数据后，就可以获取到存储在Cookie对象中的数据，这样同一个会话中的多次请求之间就实现了数据共享

3. cookie的基本使用

   • 对于Cookie的使用，我们作为后端程序员更关注的应该是后台代码如何操作Cookie，对于Cookie的操作主要分两大类，分别是发送Cookie和获取Cookie。
     • 3.1）发送cookie
     • 3.2）获取cookie

• 3.1）发送cookie

  3.1.1:创建Cookie对象，并设置数据
  Cookie cookie = new Cookie("key","value");

  3.1.2：发送Cookie到客户端：使用response对象
  response.addCookie(cookie);

案例：

 @WebServlet("/aServlet")
 public class AServlet extends HttpServlet {
	@Override
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
			//发送Cookie//1. 创建Cookie对象
			Cookie cookie = new Cookie("username","zs");
			//2. 发送Cookie，
			response.addCookie(cookie);
}

@Override
	protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		this.doGet(request, response);
	 }
 }

启动测试，在浏览器就能看到查看Cookie对象中的值

• 3.2）获取cookie

  3.2.1：获取客户端携带的所有Cookie，使用request对象
  Cookie[] cookies = request.getCookies();
  3.2.2：遍历数组，获取每一个Cookie对象：for
  使用Cookie对象方法获取数据
  cookie.getName();
  cookie.getValue();

package web.cookie;

import jakarta.servlet.*;
import jakarta.servlet.http.*;
import jakarta.servlet.annotation.*;

import java.io.IOException;

@WebServlet("/bServlet")
public class bServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
//1. 获取Cookie数组
         Cookie[] cookies = request.getCookies();
         //2. 遍历数组
         for (Cookie cookie : cookies) {
            //3. 获取数据
             String name = cookie.getName();
             if("username".equals(name)){
                 String value = cookie.getValue();
                 System.out.println(name+":"+value);
                 break;
                }
             }
    }

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

一、1.1、Cookie的原理分析

1. cookie的原理是基于http协议的，其中设计到HTTP协议中的两个请求头信息:：
   • 响应头:set-cookie
   • 请求头: cookie
     

• 前面的案例中已经能够实现，AServlet给前端发送Cookie,BServlet从request中获取Cookie的功能
• 对于AServlet响应数据的时候，Tomcat服务器都是基于HTTP协议来响应数据
• 当Tomcat发现后端要返回的是一个Cookie对象之后，Tomcat就会在响应头中添加一行数据Set-Cookie:username=zs
• 浏览器获取到响应结果后，从响应头中就可以获取到Set-Cookie对应值username=zs ,并将数据
  存储在浏览器的内存中
• 浏览器再次发送请求给BServlet的时候，浏览器会自动在请求头中添加Cookie: username=zs
  发送给服务端BServlet
• Request对象会把请求头中cookie对应的值封装成一个个Cookie对象，最终形成一个数组
• BServlet通过Request对象获取到Cookie[]后，就可以从中获取自己需要的数据

一、1.2、cookie的使用细节

1. cookie的存活时间
   

2. 原因：

   • 默认情况下，Cookie存储在浏览器内存中，当浏览器关闭，内存释放，则Cookie被销毁
   • 如何将Cookie持久化存储?
     • Cookie其实已经为我们提供好了对应的API来完成这件事，这个API就是setMaxAge,

   设置Cookie存活时间
   setMaxAge(int seconds);
   参数值为:
   1.正数：将Cookie写入浏览器所在电脑的硬盘，持久化存储。到时间自动删除
   2.负数：默认值，Cookie在当前浏览器内存中，当浏览器关闭，则Cookie被销毁
   3.零：删除对应Cookie

package web;

import jakarta.servlet.*;
import jakarta.servlet.http.*;
import jakarta.servlet.annotation.*;

import java.io.IOException;

@WebServlet("/aServlet")
public class aServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
//发送Cookie//1. 创建Cookie对象
        Cookie cookie = new Cookie("username","zs");
        //设置存活时间 ，1周 7天
        cookie.setMaxAge(60*60*24*7); //易阅读，需程序计算
         //cookie.setMaxAge(604800); //不易阅读(可以使用注解弥补)，程序少进行一次计算
        //2. 发送Cookie，response
       response.addCookie(cookie);
    }

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

一、1.3、cookie存储中文（过时了，tomcat10.0版本不需要这个内容）

1. Cookie不能直接存储中文

   • Cookie不能存储中文，但是如果有这方面的需求，这个时候该如何解决呢?
     这个时候，我们可以使用之前学过的一个知识点叫URL编码，所以如果需要存储中文，就需要进行转码，具体的实现思路为:

   1.在AServlet中对中文进行URL编码，采用URLEncoder.encode()，将编码后的值存入
   Cookie中
   2.在BServlet中获取Cookie中的值,获取的值为URL编码后的值
   3.将获取的值在进行URL解码,采用URLDecoder.decode()，就可以获取到对应的中文值

(1)在AServlet中对中文进行URL编码

package web;

import jakarta.servlet.*;
import jakarta.servlet.http.*;
import jakarta.servlet.annotation.*;

import java.io.IOException;

@WebServlet("/aServlet")
public class aServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		//发送Cookie
		 String value = "张三";
		 //对中文进行URL编码
		value = URLEncoder.encode(value, "UTF-8");
		System.out.println("存储数据："+value);
		//将编码后的值存入Cookie中
		 Cookie cookie = new Cookie("username",value);
		 //设置存活时间 ，1周 7天
		 cookie.setMaxAge(60*60*24*7);
		 //2. 发送Cookie，response
		 response.addCookie(cookie);
    }

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

(2)在BServlet中获取值，并对值进行解码

package web;

import jakarta.servlet.*;
import jakarta.servlet.http.*;
import jakarta.servlet.annotation.*;

import java.io.IOException;

@WebServlet("/bServlet")
public class bServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
	//获取Cookie
	 //1. 获取Cookie数组
	 Cookie[] cookies = request.getCookies();
	 //2. 遍历数组
	 for (Cookie cookie : cookies) {
	 //3. 获取数据
	 String name = cookie.getName();
	 if("username".equals(name)){
	 String value = cookie.getValue();//获取的是URL编码后的值%E5%BC%A0%E4%B8%89
	 //URL解码
	 value = URLDecoder.decode(value,"UTF-8");
	 System.out.println(name+":"+value);//value解码后为 张三
	 break;
	 }
    }
}
    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

一、2、Session的基本使用

1. 概念：Session：服务端会话跟踪技术：将数据保存到服务端。
   • Session是存储在服务端而Cookie是存储在客户端
   • 存储在客户端的数据容易被窃取和截获，存在很多不安全的因素
   • 存储在服务端的数据相比于客户端来说就更安全

2. Session的工作流程

   • 在服务端的AServlet获取一个Session对象，把数据存入其中
   • 在服务端的BServlet获取到相同的Session对象，从中取出数据
   • 就可以实现一次会话中多次请求之间的数据共享了

3. session的基本使用

   • 在JavaEE中提供了HttpSession接口，来实现一次会话的多次请求之间数据共享功能。
     具体的使用步骤为:
     • 1）获取Session对象,使用的是request对象
       HttpSession session = request.getSession();
     • 2）Session对象提供的功能:
       • 存储数据到 session 域中
         void setAttribute(String name, Object o)
       • 根据 key，获取值
         Object getAttribute(String name)
       • 根据 key，删除该键值对
         void removeAttribute(String name)

4. 注意:Session中可以存储的是一个Object类型的数据，也就是说Session中可以存储任意数据
   类型。

一、2.1、Session原理分析

1. Session是基于Cookie实现的
   

• Session要想实现一次会话多次请求之间的数据共享，就必须要保证多次请求获取Session的对象是同一个。
• 注意:在一台电脑上演示的时候，如果是相同的浏览器必须要把浏览器全部关掉重新打开，才算新开的一个浏览器。当然也可以使用不同的浏览器进行测试，就不需要把之前的浏览器全部关闭
• 如何保证AServlet和BServlet使用的是同一个Session对象：
  

package web.session;

import jakarta.servlet.*;
import jakarta.servlet.http.*;
import jakarta.servlet.annotation.*;

import java.io.IOException;

@WebServlet("/demo1")
public class sessionDemo1Servlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

//存储到Session中
         //1. 获取Session对象
         HttpSession session = request.getSession();
         //2. 存储数据
         session.setAttribute("username","zs");
    }

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

package web.session;

import jakarta.servlet.ServletException;
import jakarta.servlet.annotation.WebServlet;
import jakarta.servlet.http.HttpServlet;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import jakarta.servlet.http.HttpSession;

import java.io.IOException;

@WebServlet("/demo2")
public class sessionDemo2Servlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

        //获取数据，从session中
        //1. 获取Session对象
         HttpSession session = request.getSession();
         //2. 获取数据
         Object username = session.getAttribute("username");
         System.out.println(username);
    }

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doGet(request, response);
    }
}

(1)demo1在第一次获取session对象的时候，session对象会有一个唯一的标识，(假如是id:10)

(2)demo1在session中存入其他数据并处理完成所有业务后，需要通过Tomcat服务器响应结果给浏览器

(3)Tomcat服务器发现业务处理中使用了session对象，就会把session的唯一标识id:10当做一个cookie，添加Set-Cookie:JESSIONID=10到响应头中，并响应给浏览器

(4)浏览器接收到响应结果后，会把响应头中的coookie数据存储到浏览器的内存中

(5)浏览器在同一会话中访问demo2的时候，会把cookie中的数据按照cookie: JESSIONID=10的格

式添加到请求头中并发送给服务器Tomcat

(6)demo2获取到请求后，从请求头中就读取cookie中的JSESSIONID值为10，然后就会到服务器内存中寻找id:10的session对象，如果找到了，就直接返回该对象，如果没有则新创建一个session对象

(7)关闭打开浏览器后，因为浏览器的cookie已被销毁，所以就没有JESSIONID的数据，服务端获取到的session就是一个全新的session对象

一、2.2、Session的使用细节

一、2.2.1、 Session钝化与活化

1. 思考一个问题：服务器重启后，Session中的数据是否还在?

   (1)服务器端AServlet和BServlet共用的session对象应该是存储在服务器的内存中

   (2)服务器重新启动后，内存中的数据应该是已经被释放，对象也应该都销毁了，所以session数据应该也已经不存在了。（应该？说明这个结论只是个猜测）

   3）但是如果session数据随着服务器的重启或者关闭就不存在了，会引发很多的问题，所以说对于session的数据，我们应该做到就算服务器重启了，也应该能把数据保存下来才对。 （注意:这里所说的关闭和启动应该要确保是正常的关闭和启动。）

2. 经过测试，会发现只要服务器是正常关闭和启动，session中的数据是可以被保存下来的。

   • 那么Tomcat服务器到底是如何做到的呢?

     • 具体的原因就是:Session的钝化和活化

       • 钝化：在服务器正常关闭后，Tomcat会自动将Session数据写入硬盘的文件中

       

       • 活化：再次启动服务器后，从文件中加载数据到Session中
         • 数据加载到Session中后，路径中的SESSIONS.ser文件会被删除掉

3. 总结：

   • session数据存储在服务端，服务器重启后，session数据会被保存
   • 浏览器被关闭启动后，重新建立的连接就已经是一个全新的会话，获取的session数据也是一个新的对象
   • session的数据要想共享，浏览器不能关闭，所以session数据不能长期保存数据
   • cookie是存储在客户端，是可以长期保存

一、2.2.2、Session销毁

1. session的销毁会有两种方式:
   • 1）默认情况下，无操作，30分钟自动销毁
     • 1.1)对于这个失效时间，是可以通过配置进行修改的
     • 1.2）如果没有配置，默认是30分钟，默认值是在Tomcat的web.xml配置文件中写死的
   • 2）调用Session对象的invalidate()进行销毁

在项目的web.xml中配置

<session-config>
<session-timeout>100</session-timeout>
</session-config>

// 销毁
 session.invalidate();

• 该销毁方法一般会在用户退出的时候，需要将session销毁掉。

一、3、Cookie和Session小结

1. Cookie 和 Session 都是来完成一次会话内多次请求间数据共享的。
   所需两个对象放在一块，就需要思考:
   • Cookie和Session的区别是什么?
   • Cookie和Session的应用场景分别是什么?
2. 区别:
   • 存储位置：Cookie 是将数据存储在客户端，Session 将数据存储在服务端
   • 安全性：Cookie不安全，Session安全
   • 数据大小：Cookie最大3KB，Session无大小限制
   • 存储时间：Cookie可以通过setMaxAge()长期存储，Session默认30分钟
   • 服务器性能：Cookie不占服务器资源，Session占用服务器资源
3. 应用场景:
   • 购物车:使用Cookie来存储
   • 以登录用户的名称展示:使用Session来存储
   • (密码登录）记住我功能:使用Cookie来存储
   • 验证码:使用session来存储
4. 结论:
   • Cookie是用来保证用户在未登录情况下的身份识别
   • Session是用来保存用户登录后的数据