JSP中session对象的理解 佟强 2008.10.9
session对象实现了HttpSession接口，用于保存每个用户的状态。session对象保存在容器里，sessionId通过Cookie在服务器和客户端之间往返发送。如果客户端不支持Cookie，就自动转换为使用URL重写。
一般情况下，客户端首次访问Web应用时，容器为其创建session对象，session对象具有一个唯一的ID。在容器对首次访问的响应中，容器将这个唯一的ID通过Cookie方式发送到客户端浏览器。浏览器在后续的每次访问时会把Cookie发送到服务器，容器从Cookie中获得sessionId，根据sessionId在容器中找到该用户的session。因此，一个用户的多次HTTP请求对应的是同一个session对象。
session的超时：一方面，由于容器要保存和管理session对象，这会占用系统资源；另一方面，为了安全的原因，如果用户没有正常退出系统，用户应该经过一段时间后能够自动退出系统。因此，session是会超时的，当session超时后，session对象和session对象上的属性就被容器销毁了。