Cookie

Cookie

 是一种服务器发送给浏览器以键值对形式存储小量信息的技术。

当浏览器首次请求服务器时，服务器会将一条信息封装成一个Cookie发送给浏览器，浏览器收到Cookie，会将它保存在内存中（注意这里的内存是本机内存，而不是服务器内存）或者本地文件，那之后每次向服务器发送请求，浏览器都会携带该Cookie，服务器就可以根据Cookie的信息来处理业务。 

Cookie的缺点

• Cookie因为请求或响应是以报文发送，无形中增加了网络流量。

• Cookie是明文传送的安全性差。

• 各个浏览器对Cookie有限制，使用上有局限。 

Cookie的创建

1. 在Servlet中创建Cookie对象，并添加到Response中。

2. 然后打开浏览器访问Servlet程序，服务器将Cookie信息发送给浏览器。

3. 浏览器收到Cookie后会自动保存，然后我们可以在下次浏览器发送请求时读取Cookie信息。

Cookie cookie = new Cookie("cookie-name", "cookie-Value");
response.addCookie(cookie);

Cookie的读取

读取Cookie主要指读取浏览器中携带的Cookie。

1. 服务器端获取浏览器传过来的Cookie代码：request.getCookies()

2. 遍历Cookie数组，获取所有Cookie信息

Cookie值的修改

// 创建一个已存在key的Cookie对象
Cookie cookie = new Cookie("cookie-name", null);
// 修改Cookie的值
cookie.setValue("this is new value");
// 通知浏览器保存修改，记得再次add
response.addCookie(cookie);

Cookie的有效时间

Cookie的实例方法setMaxAge( ) 控制Cookie存活的时间，接收一个int型参数，单位：秒。

• 参数设置为0，即：setMaxAge(0)：立即失效，表示浏览器一收到响应后，就马上删除Cookie

• 参数设置大于0：比如setMaxAge(60)，表示有效的秒数60秒后，Cookie失效。

• 参数设置小于0：比如setMaxAge(-1)，表示当前会话有效。也就是关闭浏览器后Cookie失效，被删除。

• 如果不设置失效时间，默认为当前会话有效，一旦关闭浏览器，Cookie就失效，被删除。

Cookie的路径设置

Cookie的路径是指告诉浏览器访问哪些地址时应该携带该Cookie，也就是未设置的路径不需要携带

我们通过调用Cookie的实例方法setPath()来设置，这个路径由浏览器来解析。

• / ：代表服务器的根目录

• 如果设置有效路径为：/day14/abc，则：下面几个路径能访问到Cookie

  • /day14/abc 能获取Cookie

  • /day14/xxx.xxx 不能获取Cookie

  • /day14/abc/xxx.xxx 能获取Cookie

  • /day14/abc/a/b/c 能获取Cookie

• 如果不设置，默认会在访问“/项目名”下的资源时携带

  • 如：“/项目名/index.jsp” 、 “/项目名/hello/index.jsp”

Cookie cookie = new Cookie("cookie-path", "test");
// 设置Cookie的有效访问路径为/day14/abc/下所有资源
cookie.setPath(request.getContextPath() + "/abc");
// 通知浏览器保存修改
response.addCookie(cookie);

Session

由于Cookie有一很大的局限，于是Session出现了

Session的作用就是在服务器端保存一些用户的数据，然后传递给用户一个名字为JSESSIONID的Cookie，所以本质上它也是一个Cookie，这个JESSIONID对应这个服务器中的一个Session对象，通过它就可以获取到保存用户信息的Session。

Session是什么

• 首先Session是jsp中九大内置对象之一

• 其次Session是一个域对象

• 然后Session是在服务器端用来保存用户数据的一种技术。并且Session会话技术是基于Cookie实现的。

Session的创建和获取

• Session的创建时机是在request.getSession()方法第一次被调用时。

  • 补充：request.getSession()之后的调用都是获取已经创建了的Session对象，单例模式

• Session被创建后，同时还会有一个名为JSESSIONID的Cookie被创建。

• 这个Cookie的默认时效就是当前会话。

Session的工作原理

• Session被创建后，对应的Cookie被保存到浏览器中，之后浏览器每次访问项目时都会携带该Cookie。

• 当我们再次调用时会根据该JSESSIONID获取已经存在的Cookie，而不是再创建一个新的Cookie。

• 如果Cookie中有JSESSIONID，但是JSESSIONID没有对应的Session存在，则会重新创建一个HttpSession对象，并重新设置JSESSIONID。

Session数据的存取

• setAttribute 设置属性

• getAttribute 获取属性

Session的作用域是当前会话，即对应的一个浏览器客户端，一个浏览器一个session对象非一个网页

Session 的有效时间

Session对象在服务器端不能长期保存，它是有时间限制的，超过一定时间没有被访问过的Session对象就应该释放掉，以节约内存。Session的计时是从最后一次被访问开始计时，统计其“空闲”的时间。

说明：Session对象默认的最长有效时间为30分钟。在tomcat的conf目录下web.xml配置文件中

设置

我们在web.xml文件中配置的Session会话超时时间是对所有Session都生效的。

setMaxInactiveInterval (int seconds) 设置用户多长时间没有操作之后就会Session过期。以秒为单位。

• 如果是正数。表示用户在给定的时间内没有任意操作，Session会话就会过期。
• 如果是非正数（零&负数）。表示Session永不过期。

int getMaxInactiveInterval()  获取超时时间。以秒为单位。

invalidate()　　强制失效

Session的活化和钝化

• Session钝化：Session在一段时间内没有被使用或关闭服务器时，会将当前存在的Session对象及Session对象中的数据序列化到磁盘的过程，称之为钝化。

• Session活化：Session被钝化后，服务器再次调用Session对象或重启服务器时，将Session对象及Session对象中的数据从磁盘反序列化到内存的过程，称之为活化。

如果希望Session作用域中的对象也能够随Session钝化过程一起序列化到磁盘上，则对象的实现类也必须实现java.io.Serializable接口。不仅如此，如果对象中还包含其他对象的引用，则被关联的对象也必须支持序列化，

Session对象的释放

• Session对象空闲时间达到了目标设置的最大值，自动释放

• Session对象被强制失效

• Web应用卸载

• 服务器进程停止

URL重写

当Cookie在浏览器端可能会被禁用时，我们就可以使用URL重写。

• URL重写其实就是将JSESSIONID的值以固定格式附着在URL地址后面，以实现保持JSESSIONID，进而保持会话状态。这个固定格式是：URL;jsessionid=xxxxxxxxx

实现方式

• response.encodeURL(String)

• response.encodeRedirectURL(String)

//1.获取Session对象
HttpSession session = request.getSession();
//2.创建目标URL地址字符串
String url = "targetServlet";        
//3.在目标URL地址字符串后面附加JSESSIONID的值
url = response.encodeURL(url+";jsessionid=97120112D5538009334F1C6DEADB1BE7");        
//4.重定向到目标资源
response.sendRedirect(url);