session有服务器创建，一般时限是30分钟。服务器会自动返回给浏览器一个sessionId，sessionId存在cookie中。
cookie是关闭浏览器窗口才销毁，不是关闭标签页，所以看起来像把浏览器关了，session也就销毁了，其实不是这样的。只是因为关闭浏览器后找不到sessionId，才需要重新登录。
session是怎么创建的呢？
Servlet：request.getSession(true)时创建了sessio对象。
Jsp：jsp中内置了session，当jsp文件转换成servlet时，自动生成sessioin作用域。
request.getSession(true);
有sessionId，找老柜；没有sessionId就创建一个新的Session柜
request.getSession(false);
有sessionId，找老柜；没有sessionId，就返回一个null；
手动释放session
session.invalidate()//注销session