javaWeb会话（cookie/session）

最新推荐文章于 2025-07-10 11:41:08 发布

原创最新推荐文章于 2025-07-10 11:41:08 发布 · 685 阅读

4 ·

CC 4.0 BY-SA版权

JavaWeb 同时被 2 个专栏收录

6 篇文章

订阅专栏

session和cookie

1 篇文章

订阅专栏

本文深入讲解了会话管理在Web开发中的应用，包括cookie和session的概念、实现原理、使用细节及区别。探讨了如何在客户端和服务端存储和共享数据，以及它们各自的优缺点。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、何为会话：

浏览器访问服务器的过程。

例如打开浏览器访问淘宝网站，在关闭浏览器之前的过程称之为会话。

1. 会话：一次会话中包含多次请求和响应。
   * 一次会话：浏览器第一次给服务器资源发送请求，会话建立，直到有一方断开为止
2. 功能：在一次会话的范围内的多次请求间，共享数据
3. 方式：
   1. 客户端会话技术：Cookie
   2. 服务器端会话技术：Session

为什么需要会话？

http协议是无状态的（每次请求创建行的request对象，不保留之前的记录）

二、实现会话的两种技术

概念：客户端会话技术，cookie是在服务端创建的，将数据响应给浏览器，浏览器将数据保存。
快速入门：
使用步骤：
创建Cookie对象，绑定数据
new Cookie() (String name,String value)
发送cookie对象
response.addCookie(Cookie cookie)
获取Cookie，拿到数据
Cookie[] request.getCookies()
实现原理
基于响应头的set-cookie和请求体的cookie实现
如图：
cookie的细节
一次可不可以发送多个cookie？
可以，可以创建多个Cookie对象，使用response调用多次addCookie方法发送cookie即可。
cookie在浏览器中保存多长多长时间？
默认情况下，当浏览器关闭后，cookie数据被销毁。
持久化存储：
使用cookie对象调用setMaxAge(int seconds) : 单位秒
参数为正数：将cookie数据写到硬盘的文件中。持久化存储。并指定cookie存活时间，时间到后，cookie文件自动失效。
参数为负数：默认值
参数为零：删除cookie信息
cookie能不能存中文？
在tomcat8之前cookie中不能直接存储中文数据。
需要将中文数据转码-------->一般采用URL编码
import java.net.URLDecoder;
import java.net.URLEncoder;

//URL编码
str_date = URLEncoder.encode(str_date,"utf-8");
//URL解码：
value = URLDecoder.decode(value,"utf-8");
在tomcat8之后，cookie支持中文数据。特殊字符还是不支持，建议使用URL编码存储，URL解码解析。
cookie共享问题？

假设在一个tomcat服务器中部署了多个web项目，那么在这些项目中cookie能不能共享？

默认情况下cookie不能共享。

cookie对象调用方法setPath(String path)：设置cookie的获取范围。默认情况下，设置当前的虚拟目录。

如果要共享，则可以将path设置为"/"。

不同的tomcat服务器之间cookie共享问题？

cookie对象调用方法setDomain(String path)：如果设置一级域名相同，那么多个服务器之间cookie可以共享。

setDomain(".baidu.com)，那么tieba.baidu.com和news.baidu.com中cookie可以共享。
Cookie的特点和作用
特点
cookie存储数据在客户端浏览器。
浏览器对于单个cookie的大小有限制（4kb）以及对同一域名下的总cookie数量也有限制（20个）。
cookie只能存储文本，早期版本不支持中文（Tomcat8.5及以上支持）。
作用
cookie一般用于存储少量的不太敏感的数据。
在不登录的情况下，完成服务器对客户端的身份识别。

session（主菜）

概念：服务器端会话技术，在一次会话的多次请求间共享数据，将数据保存在服务端的HttpSession 对象中.
快速入门：
获取HttpSession 对象：
HttpSession session = request.getSession();
使用HttpSession对象：
void setAttribute(String name , Object value)
Object getAttribute(String name)
void removeAttribute(String name)
原理：
Session的实现依赖于Cookie的。如图
细节：
当客户端关闭后，服务器不关闭，两次获取session是否为同一个？
默认情况下，不是。因为cookie默认是客户端关闭就销毁，而session对象依赖于cookie中name为JSESSION的一个cookie。
如果需要相同，则可以创建Cookie，键为JSESSIONID，设置最大存活时间，让cookie持久化保存。
Cookie c = new Cookie("JSESSIONID",session.getId());
c.setMaxAge(60*60); //一个小时
response.addCookie(c);
客户端不关闭，服务器关闭后，两次获取的session是同一个吗？

不是同一个，但是要确保数据不丢失。tomcat自动完成以下工作：

session的钝化：

在服务器正常关闭之前，将session对象序列化到硬盘上。

session的活化：

在服务器启动后，将session文件转为内存中的session对象即可。

idea不支持这种操作，因为每次用idea重启tomcat的时候，会自动删除catalina_base中work目录（程序动态生成的文件），这样在关闭tomcat时生成的session序列化文件也会被删除。
session什么时候被销毁？
服务器关闭

session对象调用invalidate()方法
session默认失效时间 30分钟

<session-config>
    <session-timeout>30</session-timeout>
</session-config>
session的特点
session用于存储一次会话的多次请求的数据，存在服务器端。
session可以存储任意类型、任意大小的数据

三、session与cookie的区别

(1)存储位置不同
cookie的数据信息存放在客户端浏览器上。
session的数据信息存放在服务器上。
(2)存储容量不同
单个cookie保存的数据<=4KB，一个站点最多保存20个Cookie。
对于session来说并没有上限，但出于对服务器端的性能考虑，session内不要存放过多的东西，并且设置session删除机制。
(3)存储方式不同
cookie中只能保管ASCII字符串，并需要通过编码方式存储为Unicode字符或者二进制数据。
session中能够存储任何类型的数据，包括且不限于string，integer，list，map等
(4)隐私策略不同
cookie对客户端是可见的，别有用心的人可以分析存放在本地的cookie并进行cookie欺骗，所以它是不安全的。
session存储在服务器上，对客户端是透明，不存在敏感信息泄漏的风险。
(5)有效期上不同
开发可以通过设置cookie的属性，达到使cookie长期有效的效果。
session只需关闭窗口该session就会失效，因而session不能达到长期有效的效果。
(6)服务器压力不同
cookie保管在客户端，不占用服务器资源。对于并发用户十分多的网站，cookie是很好的选择。
session是保管在服务器端的，每个用户都会产生一个session。假如并发访问的用户十分多，会产生十分多的session，耗费大量的内存。
(7)跨域支持上不同
cookie支持跨域名访问。
session不支持跨域名访问。