Cookie和Session的区别

• 什么是会话？　　

　　Web应用中的会话过程类似于生活中的打电话过程，它指的是一个客户端（浏览器）与Web服务器之间连续发生的一系列请求和响应过程（一次会话中包含多次请求和响应），例如，一个用户在某网站上的整个购物过程就是一个会话；

　　一次会话：浏览器第一次给服务器资源发送请求，会话建立，直到有一方断开为止；

　　

　　举个生活中的例子:

　　在打电话过程中，通话双方会有通话内容，同样，在客户端与服务器端交互的过程中，也会产生一些数据。例如，用户甲和乙分别登录了购物网站，甲购买了一个Nokia手机，乙购买了一个Ipad，当这两个用户结账时，Web服务器需要对用户甲和乙的信息分别进行保存。在域对象中，pageContext，HttpServletRequest对象和ServletContext对象都可以对数据进行保存，但是这些对象都不可行，原因如下：

　　（1）客户端请求Web服务器时，针对每次HTTP请求，Web服务器都会创建一个HttpServletRequest对象，该对象只能保存本次请求所传递的数据。由于购买和结账是两个不同的请求，因此，在发送结账请求时，之前购买请求中的数据将会丢失;

　　（2）使用ServletContext对象保存数据时，由于同一个Web应用共享的是同一个ServletContext对象，因此，当用户在发送结账请求时，由于无法区分哪些商品是哪个用户所购买的，而会将该购物网站中所有用户购买的商品进行结算，这显然也是不可行的；

　　（3）pageContext的作用域只是在jsp中有效；

　　（4）为了保存会话过程中产生的数据，在Servlet技术中，提供了两个用于保存会话数据的对象，分别是Cookie和Session；

　　　　功能：在一次会话的范围内的多次请求间，共享数据；

　　　　方式：

　　　　　　1.客户端会话技术：Cookie

　　　　　　2.服务器端会话技术：Session

 

• Cookie

　　　　Cookie就是服务器存放在浏览器(客户端)的一小份数据(只能是字符串，并且不超过4kb)，以后浏览器(客户端)每次访问这个服务器都会将cookie携带过来；

　　　　Cookie是客户端(浏览器)的数据存储技术，解决了不同请求需要相同请求数据的问题；把请求需要的共享的数据存储在浏览器端，避免用户重复书写请求数据；

 

　　Cookie常用方法介绍：

Cookie:
    Cookie(String name, String value)  创建cookie对象
    String getName()   获取cookie的名称
    String getValue()  获取cookie的值
    void setPath(String uri)   设置cookie的获取范围（有效路径）。默认情况下，设置当前的虚拟目录;
    setDomain(String path):如果设置一级域名相同，那么多个服务器之间cookie可以共享；
    eg: setDomain(".baidu.com"),那么tieba.baidu.com和news.baidu.com中cookie可以共享
    
    void setMaxAge(int expiry)  设置cookie的最大生存时间（单位：秒）

　　

HttpServletResponse：
  	void addCookie(Cookie cookie)   将cookie发送给浏览器

　　

HttpServletRequest：
  	Cookie[] getCookies()  获取浏览器发送的cookie

　　

　　一个记录用户上次访问时间的示例：

@WebServlet(name = "TimeServlet",urlPatterns = "/time")
public class TimeServlet extends HttpServlet {
    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        doGet(request, response);
    }

    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		//第一次访问操作
		//获取用户当前访问的时间
		Date date = new Date();
        SimpleDateFormat format = new SimpleDateFormat("yyyy年MM月dd日 hh时mm分ss秒");
        String localtime = format.format(date);
		//将数据进行编码
        localtime = URLEncoder.encode(localtime, "utf-8");

		//将数据存入cookie
        Cookie cookie = new Cookie("time", localtime);
        cookie.setMaxAge(60*60*24);
        cookie.setPath("/demo");
		//将数据发送给浏览器
        response.addCookie(cookie);

		//第二次访问操作
        Cookie[] cookies = request.getCookies();
        if (null != cookies && cookies.length > 0) {
            for (Cookie cookie1 : cookies) {
                if ("time".equals(cookie.getName())) {
                    String decode = URLDecoder.decode(cookie.getValue(), "utf-8");
                    response.setContentType("text/html;charset=utf-8");
                    response.getWriter().write(cookie.getName() + ":" + decode);
                }
            }
        }
    }
}

　　这是第一访问的响应头，带了Set-Cookie发送给客户端（图一），之后用户第二次访问，浏览器会携带这个Cookie发送请求到服务器（图二）；

　　　　　　　

　　　　　　　　　　　　　　　　　　　　　　　  图一

　　　　　　　　

　　　　　　　　　　　　　　　　　　　　　　　　图二

　　　　　Cookie的原理

　　　　　　　　　　　　　　

　　　　用途：

1. 1. cookie一般用于存出少量的不太敏感的数据

   2. 在不登录的情况下，完成服务器对客户端的身份识别

 

　　注意事项：

　　1.一次可以发送多个cookie，可以创建多个Cookie对象，使用response调用多次addCookie方法发送cookie；

　　2.在tomcat 8 之前 cookie中不能直接存储中文数据；需要将中文数据转码---一般采用URL编码(%E3)；在tomcat 8 之后，cookie支持中文数据。特殊字符还是不支持，建议使用URL编码存储，URL解码解析；

 

• Session

　　当浏览器访问Web服务器时，Servlet容器就会创建一个Session对象和ID属性，当客户端后续访问服务器时，只要将标识号传递给服务器，服务器就能判断出该请求是哪个客户端发送的，从而选择与之对应的Session对象为其服务；

　　需要注意的是，由于客户端需要接收、记录和回送Session对象的ID，因此，通常情况下，Session是借助Cookie技术来传递ID属性的；

　　Session:在一次会话的多次请求间共享数据，将数据保存在服务器端的对象中；

　　作用：解决了一个用户不同请求处理的数据共享问题，如下图：

　　　　　　　　　　 

　　　　

　　API介绍：

　　HttpServletRequest

HttpSession getSession()  获取session对象 

　　如果请求中拥有session的标识符也就是JSESSIONID，则返回其对应的session对象；

　　如果请求中没有session的标识符也就是JSESSIONID，则创建新的session对象，并将其JSESSIONID作为cookie数据存储到浏览器内存中；

　　如果session对象是失效了，也会重新创建一个session对象，并将其JSESSIONID存储在浏览器内存中；

　　HttpSession

void setAttribute(String name, Object value) 在session中保存数据
 
Object getAttribute(String name)  从session中获取数据
 
void removeAttribute(String name)  从session中移除数据

void invalidate();	设置session强制失效

　　

　　一个比较简单的例子：

　　第一个servlet

@WebServlet(name = "SessionServlet",urlPatterns = "/session")
public class SessionServlet extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        doGet(request, response);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        //获取session对象
        HttpSession session = request.getSession();
        //添加数据
        session.setAttribute("addr","广州");

    }
}

　　

　　第二个serlet

@WebServlet(name = "SessionServlet1",urlPatterns = "/session1")
public class SessionServlet1 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        doGet(request, response);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        //获取session对象
        HttpSession session = request.getSession();
        //获取数据
        String addr = (String) session.getAttribute("addr");
        System.out.println(addr);
    }
}

　　打开第一个浏览器，访问/session的servlet，抓取的数据：

　　　　

　　之后切换到/session1的servlet，抓取数据：

　　

　　启动另一个浏览器，访问/session1的servlet，抓取的数据：

　　

　　两次的数据Cookie数据都是不一样的，但是对于打开的同一个浏览器的的多个窗口访问是一样的，上面说的一个用户不同请求处理的数据共享问题，也就是这里的浏览器；

　　Session的原理图解：

　　　　　　

　　使用场景：

1. 保存购物车数据(一般也使用数据库)

2. 保存用户浏览器记录数据(一般使用数据库)

3. 保存用户登录信息数据(很重要，也就是说登录成功之后用户信息要保存在session中)

4. 保存验证码(也很常见)

　　作用域：

• 一次会话；

• 在JSESSIONID和SESSION对象不失效的情况下为整个项目内；

　　Session的特点

1. Session用于存储一次会话的多次请求的数据，存在服务器端；

2. Session可以存储任意类型，任意大小的数据；

 

　　Session与Cookie的区别：

1. Session存储数据在服务器端，Cookie在客户端

2. Session没有数据大小限制，Cookie有

3. Session数据安全，Cookie相对于不安全

　　注意事项：

　　1.当客户端关闭后，服务器不关闭，两次获取session默认情况下不是同一对象；

　　如果需要相同，则可以创建Cookie，键为JSESSIONID，设置最大存活时间，让cookie持久化保存；

Cookie c = new Cookie("JSESSIONID",session.getId());
c.setMaxAge(60*60);
response.addCookie(c);

　　　　

　　2.客户端不关闭，服务器关闭后，两次获取的Session不是同一个，但是要确保数据不丢失；tomcat自动完成以下工作:

　　Session的钝化：

　　　　当服务器正常关闭时,还存活着的Session(在设置时间内没有销毁) 会随着服务器的关闭被以文件(“SESSIONS.ser”)的形式存储在tomcat的work目录下,这个过程叫做Session 的钝化;

　　Session的活化：

　　　　当服务器再次正常开启时,服务器会找到之前的“SESSIONS.ser” 文件，从中恢复之前保存起来的Session 对象，这个过程叫做Session的活化;