深入了解 Session 与 Cookie

Java —— 深入了解 Session 与 Cookie

Java web

了解Cookie和Session

定义

1、很通俗的来讲,Cookie就是浏览器的缓存,就是用户访问网站时保存在浏览器的一小段文本信息。

2、很通俗的来讲,Session就是会话控制,一个会话就是一个浏览器访问该网站的整个过程。Session把关于本次会话的配置信息以及该用户的一些信息保存在服务端。

区别

1、大家都是缓存,Cookie是保存在客户端(浏览器),Session是保存在服务端。

2、Cookie的保存时间自由设定,当超过设定时间时Cookie过期,过期后信息被删除。Session的保存时间也是自由设定,不过一般设定为半个小时,超过设定时间或者会话结束(关闭浏览器)时,该会话对应的Session信息被删除。

3、Cookie有数量和大小的限制,Session没有或者说能支持非常大的数据量。

作用

Session与Cookie的作用都是为了保持访问用户与后端服务器的交互状态。

联系

1、Cookie需要Session
Cookie有着太多的缺点,需要Session来弥补。如数量限制,大小限制,安全性。
2、Session依赖于Cookie
Session保存了所有客户端访问服务端的会话信息,需要Cooekie中保存的JSESSIONID的值与Session中区分客户端的唯一ID对应,来让该客户端的所有访问能找到对应的Session信息。

深入了解Cookie

Cookie的属性项

1、NAME=VALUE:键值对,需要保存的信息写在这
2、Path:Cookie生成的路径
3、Domain:生成该Cookie的域名
4、Expires:过期时间
5、Secure:设置该属性后只会在SSH连接时才会回传该Cookie

例子:

"username=admin;password=000000;JSESSIONID=awi3pd0jf8504n;path=/;Domain=www.baidu.com;expires=Thu Jun 14 2018 01:52:21 GMT+0800"

注意:
1、用Cookie存数据时属性名不可以和Cookie自带的属性名相同
2、属性和值不能设置成非ASSIC字符

Cookie的相关操作

Cookie以字符串的形式保存

1、前端JS操作cookie:

// 读取cookie信息,如需某个属性值转换成数组遍历即可
var cookies=document.cookie;
// 声明一个字符串,字符串中为cookie的信息
var cookie1="username=admin";
// 添加cookie
document.cookie=cookie1;
// 修改cookie,给要改的属性重新赋值
document.cookie="username=linchen";
// 删除cookie,给cookie的过期时间重新赋值为昨天
document.cookie="expires="+(new Date()-1);

2、Java操作cookie:

JDK里javax.servlet.http.Cookie提供了cookie的API

Cookie的安全问题

Cookie就是不安全的!但是我们可以预防!

cookie存储数据一般遵循以下原则:
1、不要保存私人信息。
2、任何重要数据,最好通过加密形式来保存数据(最简单的可以用URLEncode,当然也可以用完善的可逆加密方式,遗憾的是,最好不要用md5来加密)。
3、是否保存登陆信息,需有用户自行选择。
4、长于4K的数据,不要用Cookies。

深入了解Session

Session如何工作

步骤:

  • 浏览器访问网站(发起一个会话)
  • 解析路径参数拿到seesion id
  • 检查Cookie,如果Cookie中有session id,则覆盖之前的
  • 运行到request.getSession()拿到该session id
  • 根据id到sessions容器中查找已经存在的session对象
  • 不存在则新建一个并添加到sessions容器中,存在则找到对应的session对象
  • 返回Standard Session 对象
  • 根据该对象的id新建一个Cookie,并将这个Cookie设置到Http协议头中

Session 操作

// 获取 Session 对象:
HttpSession session = requiest.getSession();

// 向HttpSession中保存数据;
session.setAttribute();

// 从HttpSession中获取数据;
session.getAttribute();

// 从HttpSession中移除数据;
session.removeAttribute();

// 返回HttpSession的唯一标识符;
session.getId();

// 设置session的存活时间(单位是秒),默认为30分钟;
session.setMaxInactiveInterval();

// 销毁HttpSession
session.invalidate();

※ 提示:(之前有说错)
javax.servlet.http.HttpSession类和javax.servlet.http.Cookie类
的jar包不在jdk里面,而tomcat的lib目录里面有,我们可以选择运行环境为tomcat来使用它们,也可以把这个jar包拷到项目里。

扩展(待以后补充)

分布式Session框架

  • 需要一个服务订阅服务器
  • ……

Session与Cookie的跨域共享

……

多终端Session统一

……

单点登录

单点登录原理与简单实现:
https://www.cnblogs.com/ywlaker/p/6113927.html