Java Web开发：Session与Cookie详细入门指南

在Web开发中，状态管理是核心需求之一。本文将深入讲解Java中Session和Cookie的使用方法，帮助你掌握用户状态管理的核心技术。

一、Session与Cookie基础概念

特性	Session	Cookie
存储位置	服务器内存/持久化存储	客户端浏览器
安全性	较高（敏感数据推荐使用）	较低（可被用户查看修改）
生命周期	会话结束或超时（默认30分钟）	可设置过期时间（浏览器关闭或指定时间）
数据类型	支持Java对象	仅字符串（最大4KB）
主要用途	用户登录状态、购物车等	记住登录、用户偏好设置等

二、Cookie操作详解

1. 创建Cookie

java 复制代码

// 创建Cookie
Cookie userCookie = new Cookie("username", "john_doe");

// 设置有效期（7天）
userCookie.setMaxAge(7 * 24 * 60 * 60); 

// 设置作用路径（整个应用）
userCookie.setPath("/"); 

// 启用HTTPS Only（增强安全）
userCookie.setSecure(true);

// 防止客户端脚本访问（防XSS）
userCookie.setHttpOnly(true);

// 添加到响应
response.addCookie(userCookie);

2. 读取Cookie

java 复制代码

// 获取所有Cookie
Cookie[] cookies = request.getCookies();

if (cookies != null) {
    for (Cookie cookie : cookies) {
        if ("username".equals(cookie.getName())) {
            String username = cookie.getValue();
            // 使用cookie值...
        }
    }
}

3. 删除Cookie

java 复制代码

// 创建同名Cookie
Cookie deleteCookie = new Cookie("username", "");

// 设置立即过期
deleteCookie.setMaxAge(0); 

// 必须匹配原路径
deleteCookie.setPath("/"); 

response.addCookie(deleteCookie);

三、Session操作详解

1. 获取/创建Session

java 复制代码

// 获取现有session或创建新session
HttpSession session = request.getSession();

// 检查是否新创建的session
if (session.isNew()) {
    System.out.println("新会话已创建");
}

2. 存储和获取Session数据

java 复制代码

// 存储数据
User user = new User("John", "john@example.com");
session.setAttribute("currentUser", user);

// 获取数据
User storedUser = (User) session.getAttribute("currentUser");

// 移除数据
session.removeAttribute("currentUser");

// 获取所有属性名
Enumeration<String> attrNames = session.getAttributeNames();

3. Session生命周期控制

java 复制代码

// 设置超时时间（分钟）
session.setMaxInactiveInterval(15 * 60); 

// 立即终止会话
session.invalidate(); 

// 监听器配置（web.xml）
<session-config>
    <session-timeout>30</session-timeout> <!-- 30分钟 -->
</session-config>

四、Session与Cookie协同工作流程

五、登录状态保持实战示例

1. 登录处理Servlet

java 复制代码

protected void doPost(HttpServletRequest request, HttpServletResponse response) {
    String username = request.getParameter("username");
    String password = request.getParameter("password");
    
    if (authenticate(username, password)) {
        // 创建Session
        HttpSession session = request.getSession();
        session.setAttribute("user", username);
        
        // 创建"记住我"Cookie
        if ("on".equals(request.getParameter("remember"))) {
            Cookie rememberCookie = new Cookie("rememberUser", username);
            rememberCookie.setMaxAge(30 * 24 * 60 * 60); // 30天
            response.addCookie(rememberCookie);
        }
        
        response.sendRedirect("dashboard.jsp");
    } else {
        response.sendRedirect("login.jsp?error=1");
    }
}

2. 登录状态检查过滤器

java 复制代码

public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) {
    HttpServletRequest request = (HttpServletRequest) req;
    HttpServletResponse response = (HttpServletResponse) res;
    
    HttpSession session = request.getSession(false);
    String requestURI = request.getRequestURI();
    
    // 排除登录页面和静态资源
    if (requestURI.endsWith("login.jsp") || 
        requestURI.contains("/assets/")) {
        chain.doFilter(request, response);
        return;
    }
    
    // 检查Session登录状态
    if (session != null && session.getAttribute("user") != null) {
        chain.doFilter(request, response);
    } 
    // 检查"记住我"Cookie
    else if (checkRememberCookie(request)) {
        chain.doFilter(request, response);
    } 
    // 未登录重定向
    else {
        response.sendRedirect("login.jsp");
    }
}

六、安全最佳实践

Session安全：
- 用户登出时调用session.invalidate()
- 避免在URL中传递Session ID（禁用URL重写）
  XML 复制代码
```

<session-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>
```

Cookie安全：

敏感信息永远不要存储在Cookie中

始终设置HttpOnly和Secure属性

java 复制代码

cookie.setHttpOnly(true);
cookie.setSecure(request.isSecure()); // 根据当前连接启用

防御会话固定攻击：

java 复制代码

// 登录成功后更换Session ID
request.changeSessionId();

分布式Session管理：

XML 复制代码

<!-- 使用Redis存储Session -->
<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

七、常见问题解决方案

问题1：浏览器禁用Cookie后Session失效
解决方案：URL重写（慎用）

java 复制代码

// 在URL中添加;jsessionid=xxx
String url = response.encodeURL("dashboard.jsp");
out.print("<a href='" + url + "'>Dashboard</a>");

问题2：分布式环境Session共享
解决方案：使用集中存储

Redis（推荐）：spring-session-data-redis
数据库：org.apache.tomcat.session.persist.ManagerBase

问题3：Session超时处理

java 复制代码

// 监听Session销毁
public class SessionListener implements HttpSessionListener {
    @Override
    public void sessionDestroyed(HttpSessionEvent se) {
        // 执行清理操作
    }
}

八、总结与学习资源

核心要点：

Session用于存储敏感/重要数据，Cookie用于持久化偏好设置
始终遵循最小权限原则，只存储必要数据
安全性配置（HttpOnly、Secure）必不可少
分布式环境使用集中式Session存储

学习资源：

最佳实践建议：对于新项目，建议使用JWT（JSON Web Tokens）结合HTTP Only Cookie实现现代认证方案，可参考Spring Security的OAuth2支持。

掌握Session和Cookie的使用是Java Web开发的必备技能。建议从简单的登录功能开始实践，逐步扩展到购物车、用户偏好等复杂场景。