【Session、Cookie记录登录状态】

关注

转载最新推荐文章于 2026-04-20 10:03:20 发布 988 阅读 AI 写同款· GEO 优化 ›

JAVA - 【Tomcat】Servlet Cookie与Session 目录 Cookie cookie是什么? javax.servlet.http.Cookie 获取与添加示例：上次访问时间 Session <一> Cookie 1> cookie是什么？客户端技术，服务器将每个用户的数据以cookie的形式写给各自的浏览器；会话级别cookie（MaxAge=-1）本地cookie（MaxAge>0）删除cookie（MaxAge=0） 2> javax.servlet.... 阅读详情

一、Cookie的机制

Cookie是浏览器（User Agent）访问一些网站后，这些网站存放在客户端的一组数据，用于使网站等跟踪用户，实现用户自定义功能。

Cookie的 Domain 和 Path 属性标识了这个Cookie是哪一个网站发送给浏览器的；Cookie的 Expires 属性标识了Cookie的有效时间，当Cookie的有效时间过了之后，这些数据就被自动删除了。

如果不设置过期时间，则表示这个Cookie生命周期为浏览器会话期间，只要关闭浏览器窗口，Cookie就消失了。这种生命期为浏览会话期的 Cookie被称为会话Cookie。会话Cookie一般不保存在硬盘上而是保存在内存里。如果设置了过期时间，浏览器就会把Cookie保存到硬盘上，关闭后再次打开浏览器，这些Cookie依然有效直到超过设定的过期时间。存储在硬盘上的Cookie可以在不同的浏览器进程间共享，比如两个IE窗口。而对于保存在内存的Cookie，不同的浏览器有不同的处理方式。（设置age为负数就是窗口cookie，设置0删除cookie，设置正数存活的时间）

二、Session机制

Session是存放在服务器端的类似于 HashTable 结构来存放用户数据，当浏览器第一次发送请求时，服务器自动生成了一个HashTable 和一个 Session ID 用来唯一标识这个HashTable，并将其通过响应发送到浏览器。当浏览器第二次发送请求，会将前一次服务器响应中的 Session ID 放在请求中一并发送到服务器上，服务器从请求中提取出Session ID，并和保存的所有Session ID进行对比，找到这个用户对应的HashTable。

一般情况下，服务器会在一定时间内保存这个HashTable，过了时间限制，就会销毁这个HashTable。在销毁之前，程序员可以将用户的一些数据以Key和Value的形式暂时存放在这个HashTable中。当然，也有使用数据库（redis）将这个HashTable序列化后保存起来的，这样的好处是没了时间的限制，坏处是随着时间的增加，这个数据库会急速膨胀，特别是访问量增加的时候。一般还是采取前一种方式，以减轻服务器压力。

详解

浏览器第一次请求服务器时，服务器会生成一个sessionId，并返回给浏览器，这个sessionId会被保存在浏览器的会话cookie中。如下图

在浏览器不关闭的情况下，之后的每次请求请求头都会携带这个sessionId到服务器。如下图

session在服务器的默认有效时间是30分钟，可以通过3种方式去设置session的过期时间

下面通过代码的方式设置session过期时间为180秒

request.getSession().setMaxInactiveInterval(30*6);

在第二次请求3分钟后我们进行第三次请求，这个时候服务器中原有的session已经过期，所以服务器会生成一个新的sessionId返回给浏览器，并替换掉cookie中之前的sessionId，第三次请求cookie携带的还是之前的sessionId。如下图

浏览器再次请求，cookie就会携带新的sessionId到服务器，如下图

通过sessionId我们可以做登陆过期，会话期间无需二次登陆等功能。

三、Session的客户端实现形式（即Session ID的保存方法）

[1] 使用Cookie来保存，这是最常见的方法。服务器通过设置Cookie的方式将Session ID发送到浏览器。如果我们不设置这个过期时间，那么这个Cookie将不存放在硬盘上，当浏览器关闭的时候，Cookie就消失了，这个Session ID就丢失了。如果我们设置这个时间为若干天之后，那么这个Cookie会保存在客户端硬盘中，即使浏览器关闭，这个值仍然存在，下次访问相应网站时，同样会发送到服务器上。

[2] 使用URL附加信息的方式，也就是像我们经常看到JSP网站会有aaa.jsp?JSESSIONID=*一样的。这种方式和第一种方式里面不设置 Cookie过期时间是一样的。

[3] 第三种方式是在页面表单里面增加隐藏域，这种方式实际上和第二种方式一样，只不过前者通过GET方式发送数据，后者使用POST方式发送数据。但是明显后者比较麻烦。

四、实现“记住我的登录状态”的功能

如果我们将Session ID通过Cookie发送到客户端的时候设置其过期时间为1年，那么在今后的一年时间内，客户端访问我的网站的时候都回将这个Session ID值发送到服务器上，服务器根据这个Session ID从内存或者数据库里面恢复存放Key-Value对的Hashtable。其实这已经很好的实现了我们的功能了。但是，前面也提到了，实际上Session并不会一直都存在的，过了一定的时间之后，服务器上的Session就被销毁了，以减轻服务器的访问压力。当服务器上的数据被销毁后，即使客户端上存放了Cookie也没有办法“记住我的登录状态”了。

通用的实现办法是，将用户的用户名和加密之后的密码也通过Cookie的方式存放在客户端，当服务器上的Session销毁以后，使用Cookie里面存放的用户名和加密之后的密码重新执行一次登录操作，重建Session，并更新客户端上Cookie中存放的的Session ID，而这个操作是发生在用户请求一个需要身份验证的页面资源的背后，对于用户来讲是透明的，于是就达到了“记住我的登录状态”的目的了。

【拓展】Session ID 与 Token 基本一致！