深入分析 Session 和 Cookie

关注

转载最新推荐文章于 2026-07-12 02:16:51 发布 107 阅读 AI 写同款· GEO 优化 ›

AD620单电源应变片测量电路分析笔者最近在用AD620做应变片的压力检测电路，正好AD620的datasheet中有对于应变片压力测量的应用电路，参考该电路进行设计及实验后发现该电路存在些许问题，并对其进行了优化改进。本文纯属个人理解，供大家参考，欢迎批评指正。 AD620应用电路分析及优化应用电路分析 AD620手册中原电路如下（加了部分标注以便分析）：该电路中，前半部分比较明显，为经典的AD620放大电路结构：四个应变... 阅读详情

点击上方“芋道源码”，选择“置顶公众号”

技术文章第一时间送达！

源码精品专栏

来源：http://t.cn/EvGZYz0

在Web发展史中，我们知道浏览器与服务器间采用的是http协议，而这种协议是无状态的，所以这就导致了服务器无法知道是谁在浏览网页，但很明显，一些网页需要知道用户的状态，例如登陆，购物车等。

所以为了解决这一问题，先后出现了四种技术，分别是隐藏表单域，URL重写，cookie，session。而用的最多也是比较重要的就是cookie和session了。

Cookie

首先来了解cookie

是什么

cookie是浏览器保存在用户电脑上的一小段文本，通俗的来讲就是当一个用户通过http访问到服务器时，服务器会将一些Key/Value键值对返回给客户端浏览器，并给这些数据加上一些限制条件，在条件符合时这个用户下次访问这个服务器时，数据通过请求头又被完整地给带回服务器，服务器根据这些信息来判断不同的用户。

也就是说，cookie是服务器传给客户端并保存在客户端的一段信息，这个Cookie是有大小，数量限制的！！

Cookie的创建

当前Cookie有两个版本，分别对应两种设置响应头：“Set-Cookie”和“Set-Cookie2”。在Servlet中并不支持Set-Cookie2，所以我们来看看Set-Cookie的属性项：

属性项	属性项介绍
NAME=VALUE	键值对，可以设置保存的Key/Value，这里NAME不能和其他属性项名字一样
Expires	过期时间，在这个时间点后Cookie失效
Domain	生成Cookie域名
Path	该Cookie是在当前那个路径下生成的
Secure	加密设置，设置他之后，只会在SSH连接时才会回传该Cookie

现在，我们先来了解这些属性项，其他的都说的很清楚了，我们来看看Domain有什么用：

现在，我们假设这里有两个域名：

域名A：a.b.f.com.cn 域名B：c.d.f.com.cn

显然，域名A和域名B都是f.com.cn的子域名

如果我们在域名A中的Cookie的domain设置为f.com.cn，那么f.com.cn及其子域名都可以获取这个Cookie，即域名A和域名B都可以获取这个Cookie
如果域名A和域名B同时设置Cookie的doamin为f.com.cn，那么将出现覆盖的现象
如果域名A没有显式设置Cookie的domain方法，那么domain就为a.b.f.com.cn，不一样的是，这时，域名A的子域名将无法获取这个Cookie

综上所述，我们知道了domain的用处，聪明的小伙伴已经发现了，单点登陆就是用这个原理实现的。

好的，现在了解完了Set-Cookie的属性项，开始创建Cookie

Web服务器通过发送一个称为Set-Cookie的http消息来创建一个Cookie：

Set-Cookie: value; expires=date; path=path

这里我们思考一个问题，当我们在服务器创建多个Cookie时，这些Cookie最终是在一个Header项中还是以独立的Header存在的呢？

int size = headers.size();
for(int i = 0;i < size;i++){
    outputBuffer.sendHeader(headers.getName(i),headers.getValue(i));
}

我们可以看到，构建http返回字节流时是将Header中所有的项顺序写出，而没有进行任何修改。所以可以想象在浏览器在接收http返回的数据时是分别解析每一个Header项。

++ 接着，在客户端进行保存，如何保存呢？这里又要对Cookie进行进一步的了解。 ++

Cookie的分类

会话级别Cookie：

所谓会话级别Cookie，就是在浏览器关闭之后Cookie就会失效。

持久级别Cookie：

保存在硬盘的Cookie，只要设置了过期时间就是硬盘级别Cookie。

好的，现在cookie保存在了客户端，当我们去请求一个URL时，浏览器会根据这个URL路径将符合条件的Cookie放在请求头中传给服务器。

Session

各位客官看到这里实属不易，????，但我们还是要想想，Cookie是有大小限制和数量限制的，并且越来越多的Cookie代表客户端和服务器的传输量增加，可不可以每次传的时候不传所有cookie值，而只传一个唯一ID，通过这个ID直接在服务器查找用户信息呢？答案是有的，这就是我们的session。

理解Session：

Session是基于Cookie来工作的，同一个客户端每次访问服务器时，只要当浏览器在第一次访问服务器时，服务器设置一个id并保存一些信息(例如登陆就保存用户信息，视具体情况)，并把这个id通过Cookie存到客户端，客户端每次和服务器交互时只传这个id，就可以实现维持浏览器和服务器的状态，而这个ID通常是NAME为JSESSIONID的一个Cookie。

Session和Cookie

实际上，有四种方式让Session正常工作

通过URL传递SessionID
通过Cookie传递SessionID
通过SSL传递SessionID
通过隐藏表单传递SessionID

第一种情况：

当浏览器不支持Cookie功能时，浏览器会将用户的SessionCookieName(默认为JSESSIONID)重写到用户请求的URL参数中。格式：/path/Servlet;name=value;name2=value2?Name3=value3

第三种情况：

会根据javax.servlet.request.ssl_session属性值设置SessionID。

注：如果客户端支持Cookie，又通过URL重写，Tomcat仍然会解析Cookie中的SessionID并覆盖URL中的SessionID

工作原理

我们先看session工作的时序图

一、创建Session

当客户端访问到服务器，服务器会为这个客户端通过request.getSession()方法创建一个Session，如果当前SessionID还没有对应的HttpSession对象，就创建一个新的，并添加到org.apache.catalina.Manager的sessions容器中保存，这就做到了对状态的保持。当然，这个SessionID是唯一的

二、session保存

由图可知，session对象已经保存在了Manager类中，StandardManager作为实现类，通过requestedSessionId从StandardManager的sessions集合中取出StandardSession对象。

我们来看看StandardManager时如何对所有StandardSession对象进行生命周期管理

当Servlet容器关闭：

StandardManager将持久化没过期的StandardSession对象(必须调用Servlet容器中的stop和start命令，不能直接kill)

当Servlet容器重启时：

StandardManager初始化会重读这个文件，解析出所有session对象。

三、session的销毁

这里有一个误区，也是我之前的错误理解，就是我将session的生命周期理解成一次会话，浏览器打开就创建，浏览器关闭就销毁，这样理解是错的！！

session的声明周期是从创建到超时过期

也就是说，当session创建后，浏览器关闭，会话级别的Cookie被销毁，如果没有超过设定时间，该SessionID对应的session是没有被销毁的，

检查session失效

检查每个Session是否失效是在Tomcat的一个后台线程完成的(backgroundProcess()方法中)；除了后台进程检验session是否失效外，调用request.getSession()也会检查该session是否过期，当然，调用这种方法如果过期的话又会重新创建一个新的session。