深入理解JSP/Servlet Session会话管理机制

HTTP 是一种无状态协议，这意味着每次客户端检索网页时，都要单独打开一个服务器连接，因此服务器不会记录下先前客户端请求的任何信息。它与FTP、Telnet等协议不同，FTP等协议可以记住用户的连接信息。

会话（Session）是指一个终端用户与交互系统进行通信的时间间隔，通常指从登陆系统到注销系统之间所经过的时间以及如果需要的话，可能还有一定操作空间。JSP有四种方式实现会话跟踪功能。

1. Cookie

服务器在响应请求时可以将一些数据以"键-值"对的形式通过响应信息保存在客户端。当浏览器再次访问相同的应用时，会将原先的存有session ID的Cookie通过请求信息带到服务器端，网络服务器通过识别唯一的session ID来代表每个客户端，从而识别这个客户端接下来的请求。

用于会话跟踪的Cookie叫做会话Cookie。Servlet规范中会话跟踪的cookie名字必须是JSESSIONID,保存在浏览器的内存中。

Cookie可以用于保持用户的会话状态，但Cookie信息保存在客户端，存在较大的安全隐患，且一般浏览器对Cookie的数目及数据大小有严格的限制。在Web应用中，一般情况下通过HttpSession对象保持会话状态

1. Session

Session技术则是服务端的解决方案，它是通过服务器来保持状态的。在Java中是通过调用HttpServletRequest的getSession方法（使用true作为参数）创建的。在创建了Session的同时，服务器会为该Session生成唯一的Session id，而这个Session id在随后的请求中会被用来重新获得已经创建的Session；在Session被创建之后，就可以调用Session相关的方法往Session中增加内容了，而这些内容只会保存在服务器中，发到客户端的只有Session id；当客户端再次发送请求的时候，会将这个Session id带上，服务器接受到请求之后就会依据Session id找到相应的Session，从而再次使用之。正式这样一个过程，用户的状态也就得以保持了。

1. 隐藏表单域

隐藏表单域是将会话ID添加到HTML的隐藏表单中(类型为hidden的input)。重定向和转发

1. 重写URL

把会话ID编码在URL中。 例：counter.jjsp;jsessionnid=be8d697876787876befdbde898789098980这样，即使浏览器不支持cookie，也能够实现会话跟踪。

对于URL复写，服务器从请求的URI中提取出会话ID，并把该请求与相应的会话关联起来，然后在访问会话数据的时候，JSP页面所进行的处理方式就和使用cookie跟踪会话id时所使用的方式完全相同。所以sesssion的实现要依靠cookie或URL复写技术。