会话是web开发中常用的一种对象。
会话是存在于服务器端的对象，因此会话超时是保证性能效率的必要手段，本章将学习几种常用的使会话失效的办法。
大多数容器都使用cookie作为会话跟踪的基础，但是cookie机制可能被客户端禁止。本章将学习如何使用URL重写，保证会话被禁止时会话机制仍然有效。
客户端对服务器端一次连续的访问过程，称为会话
HttpSession接口用来表示会话对象
HttpSession中和属性有关的方法
public void setAttribute(String name,Object value)
public Object getAttribute(String name)
public void removeAttribute(String name)
通过请求对象的方法获得会话对象
HttpServletRequest：
public HttpSession getSession()获得与当前请求相关的Session对象，如果当前请求中不存在Session对象，则创建一个新的session对象返回
public HttpSession getSession(boolean create) 如果参数为true，与getSession()没有区别，如果参数为false，当不存在session的时候直接返回null
请求和会话都可以存储属性，但是有什么呢区别呢？
请求和会话都可以存储属性，但是请求对象的生命周期短，除了请求转发可以将请求转发下去，其他情况下请求对象都会被重新创建。而会话对象在一次会话过程中，都会唯一维护一个会话对象。因此，只有存储到会话对象中的属性才考虑使用会话对象传递。只要请求范围使用的属性，都应该使用请求对象传递，以保证性能和效率
JSP中的会话对象
jsp中内置对象session，是HttpSession对象
默认情况下，jsp总是创建session对象，可以直接使用
我们知道在Servlet中使用Session对象之前，都必须使用请求对象获取会话对象：
HttpSession session=request.getSssion();
而如果在JSP中使用Session对象，可以直接使用Session内置对象
<%
Session.setAttribute("obj","test");
String obj=(String)session.getAttribute("obj");
%>
内置对象session是容器声明并创建的对象，所以子啊JSP文件中不需要声明，可以直接使用，但是名字必须为session，大小写敏感。
会话的实现机制：
会话的实现依赖于容器
大多数容器采用基于cooki的实现机制
基于cookie的实现机制，采用名为JSESSIONID的cookie作为session的唯一标识
HttpSession是容器创建的额对象，并存储在容器中，每个会话对象都与一个特定的客户端相关，那么容器是如何维护HttpSession对象与客户端一对一的关系的呢？大多数容器使用cookie机制来实现会话机制，例如Tomcat就是使用cookie机制实现会话跟踪。
当容器创建一个新的HttpSession对象后，即生成一个随机数，称为会话id，并将id的值封装给一个名为JSESSIONID的cookie，返回给客户端存在内存中。当应用程序通过request.getSession()获得会话对象时，容器先从当前的request对象中获取JSESSIONID值，根据JSESSIONID值查找对应的session对象，如果存在，则返回使用，否则将创建新的对象返回.如果没有获取到JSESSIONID的值，认为当前请求没有相关联的session对象。
由于jsp文件中总是默认创建session内置对象，所以只要访问一次jsp文件，容器就会创建一个session对象，创建一个session对象后，容器就会为该session生成一个随机数ID，是一个十六进制的随机整数，并把这个id存为一个名为JSESSIONID的cookie。因此下次访问该jsp文件时，就能获得一个名字是JSESSIONID的cookie，其值就是容器生成的会话id。
URL重写
通过修改客户端浏览器设置，可以禁止发送cookie
如果cookie被禁止，那么基于cookie实现的session将失效
为了解决cookie禁止session失效的问题，可以使用URL重写技术
URL重写：
就是通过HttpServletResponse中的encodeURL方法，将JSESSIONID的值强制追加到URL当中，保证即使cookie被阻止后JSESSIONID仍然能传递到服务器
<a href="<%=response.encodeURL("getpersonal")%>">View my person info. </a> <br/>
这里使用response.encodeURL将getpersonal的地址重新编码，将JSESSIONID的值强制加到URL中，保证即使cookie被阻止后JESSIONID依然能够被传递到服务器。
观察这个图，你就发现，地址栏发生了变化：
会话超时
为了有效使用内存，以及保证安全性，会话在一定时间内不被使用（称为会话超时），将被销毁
有三种策略可以使会话超时：
web.xml中配置会话超时时间(分钟)
<session-config>
<session-timeout>40</session-timeout>
</session-config>
使用setMaxInactiveInterval设置超时时间
public void setMaxInactiveInterval(int interval) 对于具体的一个session对象，可以通过调用setMaxInactiveInterval方法设定最大不活动时间，超过这个时间会话没有被访问，即被容器销毁
使用invalidate方法直接将某会话设置为失效
public void invalidate() 任何一个session对象，调用invalidate方法，都会被立即销毁，同时被绑定到session上的属性也将被解除，不能再次使用