cookie和session在java web開發中扮演了十分重要的作用，本篇文章對其中的重要知識點做一些探究和總結。(轉發自https://www.cnblogs.com/roy-blog/p/8250519.html)

1.cookie存在於瀏覽器

隨意打開一個網址，用火狐的調試工具，隨意選取一個鏈接，查看其請求頭。你就會看到cookie的信息。如下圖所示。

如上圖所示，我們訪問了新浪網，通過火狐瀏覽器的調試窗口可以看到cookie存在於請求頭也就是httprequest中，並且是以鍵值對（數組）的形式存在。

只要有請求，就會在請求頭攜帶一個cookie的數組（鍵值對）。cookie是瀏覽器層面的東西。

2.java中獲取cookie

事實上，在java的servlet體系裏，我們可以通過如下方式獲取cookie.

HttpServletRequest req=ServletActionContext.getRequest();
        Cookie[] cookies=req.getCookies();
        for(int i=0;i<cookies.length;i++){
            Cookie cookie=cookies[i];
            System.out.println("name:"+cookie.getName()+",domain"+cookie.getDomain()+",value:"+cookie.getValue()+",maxage:"+cookie.getMaxAge());
        }

可以看到，在servlet體系中，把cookie作為一個屬性放到了HttpRequest對象裏面。通過getCookies（）方法得到一個cookie數組。

我們在一個action中加入上述代碼，並且訪問這個action，則可以看到控制臺打印出如下信息。

servlet對cookie進行了封裝，cookie對象有幾個屬性，如name，domain，value，maxage等，具體的意義可以參考servlet的api文檔。

以上的請求的cookie是我首次訪問某一個網站的鏈接時候產生的。可以看到cookie數組中只有一個元素。這邊先註意一下，後續會有更進一步的說明。

3.java中向cookie中添加元素

說了獲取cookie數組和cookie，我們一定也想知道如何把我們自己的一些信息放進cookie，其實很簡單。http的一次請求總是伴隨著一次響應，我們就將cookie信息放入到響應中，傳遞給瀏覽器。在java下代碼是這樣寫的。

HttpServletResponse res=ServletActionContext.getResponse();
        Cookie cookie=new Cookie("xdx", "i‘m xdx");
        res.addCookie(cookie);

可以看到當我們發起這個請求時，在響應頭有下列信息。

也就是通過這次請求，我們把xdx=i‘m xdx 這個cookie通過response放進了瀏覽器。

當我們再次訪問該網站上的其他頁面的時候，在請求頭都將帶有這個cookie。如下圖所示。

而假如我們清除歷史記錄，包括cookie。

再次訪問該網站的某一個地址。剛才我們加進去的cookie就不存在了。

總結來說就是：servlet通過response將cookie放入到cookie數組中，這樣瀏覽器端就會擁有這一個cookie信息。瀏覽器會在以後的請求過程中把這個cookie信息放在請求頭。

4.session是什麽

session我們一般指的是HTTPSession，為了理解它，我們直接打開HttpSession的源碼來一看究竟。

/**
 *
 * Provides a way to identify a user across more than one page
 * request or visit to a Web site and to store information about that user.
 *
 * <p>The servlet container uses this interface to create a session
 * between an HTTP client and an HTTP server. The session persists
 * for a specified time period, across more than one connection or
 * page request from the user. A session usually corresponds to one 
 * user, who may visit a site many times. The server can maintain a 
 * session in many ways such as using cookies or rewriting URLs.
 *
 * <p>This interface allows servlets to 
 * <ul>
 * <li>View and manipulate information about a session, such as
 *     the session identifier, creation time, and last accessed time
 * <li>Bind objects to sessions, allowing user information to persist 
 *     across multiple user connections
 * </ul>
 *
 * <p>When an application stores an object in or removes an object from a
 * session, the session checks whether the object implements
 * {@link HttpSessionBindingListener}. If it does, 
 * the servlet notifies the object that it has been bound to or unbound 
 * from the session. Notifications are sent after the binding methods complete. 
 * For session that are invalidated or expire, notifications are sent after
 * the session has been invalidated or expired.
 *
 * <p> When container migrates a session between VMs in a distributed container
 * setting, all session attributes implementing the {@link HttpSessionActivationListener}
 * interface are notified.
 * 
 * <p>A servlet should be able to handle cases in which
 * the client does not choose to join a session, such as when cookies are
 * intentionally turned off. Until the client joins the session,
 * <code>isNew</code> returns <code>true</code>.  If the client chooses 
 * not to join
 * the session, <code>getSession</code> will return a different session
 * on each request, and <code>isNew</code> will always return
 * <code>true</code>.
 *
 * <p>Session information is scoped only to the current web application
 * (<code>ServletContext</code>), so information stored in one context
 * will not be directly visible in another.
 *
 * @author    Various
 *
 * @see     HttpSessionBindingListener
 * @see     HttpSessionContext

簡單的翻譯一下：

--提供一個在多頁面請求切換的情況下用於驗證、存儲用戶信息的手段。

--servlet容器使用Httpsession來創建連接客戶端和服務端的一個會話（session）。這個會話能持續一段指定的時間（也就是我們常說的session過期時間），該會話能在多個請求之間共享。

--這個會話一般跟用戶信息關聯，由於這個用戶可能多次訪問網站，所以我們把他們存儲在這個會話（也就是httpsession）裏。

--服務端通常是通過cookies或者rewriting URLs來保持一個session。

我的理解，session是一種持久的會話，它的存在主要是為了克服http無狀態的特點，關於http無狀態，或者說沒有記憶，這裏不多闡述，涉及到計算機網絡的知識，簡單來說就是http一次請求對應一次響應，在這個過程中會攜帶一些信息，但這些信息也僅僅在這個過程中有效。當一個請求結束，我們進入下一個請求的時候，上一個請求裏面的信息對當前的請求就沒什麽意義了，因為當前的請求根本不會知道上一個請求裏面所包含的信息。

那麽當我們需要一些在各個請求都能公用的信息的時候，該怎麽辦呢？有很多辦法，可以把信息存在數據庫，然後每次從數據庫去取出來，當然io存取會浪費很多時間，它僅僅針對大數據量。還有一種就是將這些信息存在內存當中。沒錯session其實就是這樣一種對象，他把項目當中一些常用的信息存在內存當中，這些常用的信息通常是跟用戶相關的，比如用戶名，用戶昵稱，用戶角色等。因為他們需要經常用到，所以把這些信息存在session中進行管理再好不過了。

5.如何獲取一個session

在servlet體系裏，我們可以用如下代碼來獲取session。

HttpServletRequest request = ServletActionContext.getRequest();
        HttpSession httpSession=request.getSession();
        System.out.println(httpSession);

我們來查閱HttpServletRequest的源碼，看看其getSession()方法。

 /**
     *
     * Returns the current session associated with this request,
     * or if the request does not have a session, creates one.
     * 
     * @return        the <code>HttpSession</code> associated
     *            with this request
     *
     * @see    #getSession(boolean)
     *
     */

    public HttpSession getSession();

它的解釋是返回當前與request關聯的session，如果這個請求不存在session，就新建一個。

我們在兩個請求中加入上述代碼並運行，得到如下結果。

可以看到在整個項目內，這個session被共享著調用。

6.session和cookie到底有什麽關系呢？

簡單點說，每一個session對象都有一個sessionId,而在cookie數組中，又一個元素叫做JSESSIONID，服務器將session對象的sessionId,以名稱叫做JSESSIONID，值為sessionId的形式存入cookie數組中，這樣cookie和session就發生了關聯。

上面的描述可以用下圖來表示。

上述的過程可以用類似如下的代碼來實現。

HttpServletRequest req=ServletActionContext.getRequest();
        HttpServletResponse res=ServletActionContext.getResponse();
        Cookie cookie=new Cookie("JSESSIONID", req.getSession().getId());
　　　　　res.addCookie(cookie);

只不過我們並不需要寫這個代碼，servlet自動幫我們完成了如上的操作。

7.具體過程

具體的過程是這樣的：

（1）當我們首次在某個請求中通過調用request.getSession去獲取session的時候（這個調用不一定是顯式的，很多框架把session封裝成map等其他的類型，名稱也不一定是session，但是本質都是在調用session），首先servlet通過getCookie的到本次請求的cookie信息，然後去尋找cookie數組中是否有否有一個名為JSESSIONID的cookie，沒有的話就創建一個session，並且把sessionId做為JSESSIONID這個cookie的值，然後調用addCookie（）方法把該cookie放入cookie數組。

（2）如果上一步中從cookie數組中取到的cookie數組已經包含了JSESSIONID這個cookie，這時候我我們取出JSESSIONID的值，然後去內存中的session（內存中有很多session）去尋找對應的sessionId為JSESSIONID的值的session，如果找得到的話，就使用這個session，找不到的話，就新建一個session，並且同樣的調用addCookie（）方法覆蓋掉原來的JSESSIONID這個cookie的值。

上述的過程可以用類似如下的代碼來表示。

    HttpServletRequest req=ServletActionContext.getRequest();//具體獲取request的情況可能有所不同
    HttpSession session;
        Cookie JSESSIONID=null;
        Cookie[] cookies=req.getCookies();
        for(int i=0;i<cookies.length;i++){
            Cookie cookie=cookies[i];
            if(cookie.getName().equals("JSESSIONID")){
                JSESSIONID=cookie;
            }
        }
        if(JSESSIONID==null){
           session= createSession();//創建一個session
        }else{
         session=findSessionBySessionId(JSESSIONID.getValue());//通過sessionId獲取session
            if(session==null){
               session= createSession();//創建一個session
            }
            HttpServletRequest req=ServletActionContext.getResponse();//具體情況可能有所不同
           Cookie cookie=new Cookie("JSESSIONID", session.getId());
           res.addCookie(cookie);
     

我們將瀏覽器緩存清除，這樣cookie中就沒有JSESSIONID了，然後我們訪問一個action。如下。

8.當我們清空瀏覽器的時候，session會消失嗎？

這個問題包含著一些陷阱。因為很多時候當我們清空瀏覽器以後，確實需要重新登錄系統才可以操作，所以很多人自然而然認為清空瀏覽器緩存（包含cookie）以後。session就會消失。

其實這種結論是錯誤的。要知道，session是存在於服務器的，你清除瀏覽器緩存，只是清除了cookie，跟session一點關系都沒有。那麽為什麽我們卻不能訪問網站，而需要重新登錄了呢？

一般的web項目會通過session來判斷用戶是否有登錄，常用的判斷語句是if(session.get("userId")==null。如果為空，則表示需要重新登錄。這時候其實隱式地調用了getSession()方法，這就回到了上一步我們所講的session獲取的具體步驟了。

因為清空了瀏覽器緩存，這時候cookie數組中必定不會有JSESSIONID這個cookie，所以必須得新建一個session，用新的sessionId來給JSESSIONID這個cookie賦值。由於是新建的session，session中必定沒有userId這樣的屬性值，所以判斷結果自然為空，所以需要重新登錄。這次賦值以後，下一次再請求該網站的時候，由於cookie數組中已經有了JSESSIONID這個cookie，並且能通過該JSESSIONID的值找到相應的session，所以就不需要再重新登錄了。

9.討論幾種極端情況

第一種：當項目正常運行，我們清空瀏覽器，cookie和session會發生什麽變化。

因為清空了瀏覽器，所以不會存在JSESSIONID這個cookie，servlet無法找到對應的session，所以他會新建一個session，然後在本次請求的響應中將sessionId傳入cookie中。

下一次請求，cookie數組中就帶有JSESSIONID這個cookie了，servlet就可以找到對應的session，沿用即可。

第二種：瀏覽器正常，項目重啟（可停止tomcat來模擬這種情況），cookie和session會發生什麽變化。

因為項目重啟，內存中的一切session都消失了，雖然訪問一個action，請求頭中有JSESSIONID這個cookie，但是通過它的值（sessionId）並不能找到session（因為根本沒有任何session），所以還是得重新創建一個session，並且這個session的sessionId跟當前cookie數組中的JSESSIONID的值不一樣，所以它會將新的sessionId覆蓋掉cookie數組中原來的JSESSIONID，並且由於此時的session是嶄新的，所以他不可能有userId這樣的屬性值，所以在攔截的時候依然會被截獲，因此也是需要重新登錄的。

有興趣的同學可以去試驗一下。

10.session的時限

可以通過setMaxInactiveInterval（）方法來設置session的時限，比如可以設為半個小時。這個時間指的是session不活躍開始計算的時間。超過這個時間，session就失效了。此時若再getSession(),則會創建一個新的session，並且其sessionId為此時瀏覽器中JSESSIONID的值。

有三種方式來設置session的時限：

--通過在web容器中設置（以tomcat為例），在tomcat-7.0\conf\web.xml中設置，以下是tomcat7.0中默認配置：

<session-config>
<session-timeout>30</session-timeout>
</session-config>

--通過web項目的web.xml文件來設置。設置15分鐘失效。

<session-config>
<session-timeout>15</session-timeout>
</session-config>

--直接在代碼中設置

session.setMaxInactiveInterval(30*60);//以秒為單位，即在沒有活動30分鐘後，session將失效

上述三種方法的優先級：1<2<3.

我們來做個試驗，在web.xml中設置session的過期時間為1分鐘，然後觀察session和cookie的變化。

第一次訪問：

過了一分鐘後，再次訪問

發現還是沒變，但馬上再次訪問。

結合我們之前所說的session和cookie的作用過程來解釋一下：第二次訪問的時候，因為過了一分鐘，超過了session的過期時間，所以此時雖然cookie中還是原來的sessionID(這也是為什麽第二次與第一次的請求頭中SessionID相同的原因），但是通過此SessionID是無法再找到那個已經失效的session，所以服務端必須重新創建一個session，並且把新的sessionID放到cookie中，覆蓋掉原來舊的。所以當我們馬上再次訪問的時候，這一次就是新的cookie了。

ps:其實這個過程跟服務端暫停服務的效果是一樣的，只不過服務端暫停服務影響的是內存中的所有session,而session過期只是影響當前過期的這個session。

pss:cookie過期與session過期類似，只不過是發生在客戶端，大家可以依照前面講的作用過程試著推導cookie過期會發生什麽事情。

psss:如果用了redis等內存數據庫來管理session，那麽設置過期時間將不起作用。

12.非瀏覽器平臺使用session

cookie依賴於瀏覽器，session依賴於服務器。如果項目不在瀏覽器上面運行，那麽cookie也就無用武之地，但是我們還是想要使用session。不巧的是，session依賴cookie進行管理，這時候要怎麽辦呢？

舉個很常見的場景，我們想要在安卓，或者ios、或者微信小程序等非瀏覽器的項目中使用session。這時候這些客戶端不會自動幫我們做管理cookie的工作。那麽這時候我們需要自己來做。

前面講到過，servlet底層幫我們自動使用cookie來管理session，大體過程是：從cookie中找尋sessionID，根據sessionID去找session，找到合適的就用，找不到的話就新建一個，並且用新的sessionID覆蓋掉cookie中舊的。

而現在需要明白兩點：

（1）我們沒有瀏覽器了，所以不會在http的請求頭中攜帶cookie信息，servlet後臺收不到cookie信息，自然找不到JESSIONID，所以他會在每次請求都創建一個新的session，這對於服務端來說，是一筆嚴重的性能開銷。

（2）因為沒有瀏覽器了，servlet在更新完sessionID以後，不會自動執行set-cookie操作將新的sessionID去覆蓋舊的cookie中的JESSIONID的值。

根據以上兩點，我我們需要做如下幾件事情。

（1）：模擬http請求的時候在請求頭中帶上cookie,在cookie中塞入從JESSIONID。這樣服務端就可以取到JESSIONID,從而獲取sessionID,進行比對來獲取session；

（2），在響應給客戶端的時候，手動調用set-cookie方法將本次的sessionID放入JESSIONID中，這樣客戶端就可以得到最新的JESSIONID。

（3）：然後客戶端需要維護一個cookie的靜態變量（或者用其他方法，總之就是維護一個cookie的內存變量）。將服務端響應回來的JESSIONID的值存在這個變量裏面。作為下次請求的時候放入請求頭。

（4）：我們同樣可以在服務端寫一個攔截器，客戶端的每個請求都必須先經過攔截器，這樣就可以通過session來判斷用戶是否處於登錄狀態了。這個過程與在瀏覽器平臺毫無二致。

下面我們來實現上面的功能。

由於本人不會寫安卓和iOS的代碼，所以以一個客戶端程序來模擬安卓端。

首先，定義一個靜態變量用於存儲JESSIONID.初始值為空。

public static String J_SESSIONID="";

接下來我們編寫模擬http請求的類，需要在這個類中的請求頭中加入cookie,並且在響應的時候得到響應頭中的cookie.具體代碼如下。

public static String http4Cookie(String url, String param,String jsessionId) {
        String result = "";
        BufferedReader in = null;
        try {
            String urlNameString = url + "?" + param;
            URL realUrl = new URL(urlNameString);
            // 打開和URL之間的連接
            HttpURLConnection connection = (HttpURLConnection) realUrl
                    .openConnection();
            // 設置通用的請求屬性
            connection.setRequestProperty("accept", "*/*");
            connection.setRequestProperty("connection", "Keep-Alive");
            connection.setRequestProperty("user-agent",
                    "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;SV1)");
            connection.setRequestProperty("Cookie", "JSESSIONID="+jsessionId);//請求頭中加入JessionID
            // 建立實際的連接
            connection.connect();
            // 獲取所有響應頭字段
            Map<String, List<String>> map = connection.getHeaderFields();
            // 遍歷所有的響應頭字段,獲取響應頭中的JESSIONID信息
             for (String key : map.keySet()) {
//                 System.out.println(key + "--->" + map.get(key));
                 if("Set-Cookie".equals(key)){
                     String setCookie=map.get(key).toString();
                     String newJessionId=setCookie.substring(12,setCookie.lastIndexOf("]"));
                     J_SESSIONID=newJessionId;// 維護新的J_SESSIONID
                     System.out.println(setCookie.substring(12,setCookie.lastIndexOf("]")));
                 }
             }
            // 定義 BufferedReader輸入流來讀取URL的響應
            in = new BufferedReader(new InputStreamReader(
                    connection.getInputStream(), "utf-8"));
            String line;
            while ((line = in.readLine()) != null) {
                result += line;
            }
        } catch (Exception e) {
            System.out.println("發送GET請求出現異常！" + e);
            e.printStackTrace();
        }
        // 使用finally塊來關閉輸入流
        finally {
            try {
                if (in != null) {
                    in.close();
                }
            } catch (Exception e2) {
                e2.printStackTrace();
            }
        }
        return result;
    }

然後我們在服務端寫一個Action讓客戶端來模擬請求。

    @ResponseBody
    @RequestMapping("httpCookieTest")
    public String httpTest(HttpServletRequest req,HttpServletResponse res) {
        Cookie[]cookies=req.getCookies();
        for(Cookie cookie:cookies){
            if(cookie.getName().equals("JSESSIONID"));
            System.out.println(cookie.getValue());
        }
        OutPutMsg.outPutMsg(res, req, "httpCookieTest");
        return null;
    }

特別註意這裏的OutPutMsg，它的代碼如下。

 1 public static void outPutMsg(HttpServletResponse response,HttpServletRequest request,String msg) {
 2         response.setCharacterEncoding("utf-8");
 3         String sessionId = request.getSession().getId();
 4         response.setContentType("text/html; charset=UTF-8"); 
 5         response.setHeader("Set-Cookie", "JSESSIONID=" + sessionId);
 6         PrintWriter writer = null;
 7         try {
 8             writer = response.getWriter();
 9             writer.print(msg);
10             writer.flush();
11         } catch (IOException e) {
12             e.printStackTrace();
13         } finally {
14             if (writer != null)
15                 writer.close();
16         }
17     }

註意到第4和第5行代碼，這兩行代碼往響應頭中加入了此時的sessionId,作為JSESSIONID的值，放入到cookie中。這樣客戶端才能從響應頭中獲取最新的JSESSIONID，以更新靜態變量J_SESSIONID的值，對應http4Cookie中的代碼。

然後我們來看看客戶端的主函數。

public static void main(String args[]){
        HttpUtil.http4Cookie("http://192.168.1.185:8080/warrior/httpCookieTest","1=1",J_SESSIONID);
    }

這樣以後，其實這個過程已經跟瀏覽器的cookie運作機制並無二致了。

最後，我們在寫一個攔截器，對所有客戶端請求進行攔截。客戶端每次請求之間都率先訪問這個攔截器。

    @ResponseBody
    @RequestMapping("otherPlatformIntercept")
    public String otherPlatformIntercept(HttpServletRequest req){
        HttpSession httpSession=req.getSession();
        if(httpSession.getAttribute("userId")!=null){
            return "valid";
        }
        return "Invalid";
    }

深入理解cookie和session