Cookie&Session_asp session如何存储敏感数据-优快云博客

Cookie&Session

会话技术

会话：一次会话中包含多次请求和响应

一次会话：浏览器第一次给服务器资源发送请求，会话建立，直到有一方断开为止。
功能：在一次会话范围内的多次请求间，共享数据
方式：
- 客户端会话技术：Cookie
- 服务器端会话技术：Session

Cookie

概念：客户端会话技术，将数据保存到客户端

使用步骤

创建Cookie对象，绑定数据

Cookie cookie =  new Cookie(String name,String value)

发送Cookie对象
```
response.addCookie(Cookie cookie)
```

获取Cookie，拿到数据

Cookie cookies = request.getCookies()
//获取数据，遍历Cookies
if(cookies != null){
    for(Cookies c : cookies){
        String name = c.getName();
        String value = c,getValue();
        System.out.println(name":"+value);
    }
}

实现原理：

 	基于响应头set-cookie和请求头cookie实现

cookie的细节：

一次可以发送多个cookie，可以创建多个Cookie对象，使用response调用多次addCookie方法发送cookie即可。

cookie在浏览器中保存多长时间？

* 默认情况，当浏览器关闭后，Cookie数据被销毁

* 持久化存储：   setMaxAge(int seconds)  
 			  正数：将Cookie数据写到硬盘的文件中。持久化存储，cookie存活时间
 			  负数：默认
  		      0：删除cookie信息

cookie能不能存中文？

在Tomcat8之前，Cookie不能存储中文数据（需要将中文数据转码，一般采用URL编码(%E3)）

在Tomacat8之后，cookie支持中文数据 ,特殊字符依旧不支持。

一个Tomcat服务器中，部署了多个web项目，在这些项目中Cookie默认不能共享。

setPath(String)        //设置cookie的获取范围

不同的Tomcat服务器间cookie共享问题：

setDomain(String path)
 //如果设置一级域名相同，那么多个服务器之间的Cookie可以共享
    
 //例如百度和贴吧不在统一服务器中，设置一级域名，将两个服务器中的Cookie共享
    setDomain(".baidu,com")

Cookie的特点和作用：

特点：
- cookie存储数据在客户端浏览器安全性比较低
- 浏览器对于单个cookie的大小有限制（4kb），以及对同一域名下的总cookie数量有限制(20个)。
作用：
- cookie一般用于存储少量的不太敏感的数据
- 在不登录的情况下，完成服务器对客户端的身份识别

Session

概念：服务器端会话技术，在一次会话的多批次请求间共享数据，将数据保存在服务器端的对象中。

使用步骤：

获取Session对象：
```
request.getSession();
```
使用session对象：

Object getAttribute(String name)
void setAttribute(String name , Object value)
void remeveAttribute(String name)

原理：

Session的实现是依赖于Cookie的。

细节：

当客户端关闭后，服务器不关闭，两次获取Session的值不是同一个

/*
如果希望客户端关闭后，session也能相同，进行如下操作，原理：session依赖于cookie
创建Cookie,键为JSESSOION,设置最大存活时间，让cookie持久化保存
*/
Cookie c = new Cookie("JSESSION",session.getId());
c.getMaxAge(60*60);
response.addCookie(c);

客户端不关闭，服务器关闭，两次获取Session的值也不一样

(用java实现购物车问题时用到)
session的钝化：
   	在服务器正常关闭之前，将session对象序列化到硬盘上
session的活化
	在服务器启动后，将session文件转化为内存中的色色四年对象即可

session什么时候被销毁？
1. 服务器关闭
2. session对象调用invalidate()。
3. session默认失效时间 30分钟
```
选择性配置修改
<session-config>
	<session-timeout>30</session-timeout>
</session-config>
```