【Java从0到架构师】会话跟踪 Cookie_Session

「爱情、让人受尽委屈。」 2022-09-02 00:43 137阅读 0赞

### 会话跟踪 Cookie\_Session ###

*  Cookie
 *   *  Cookie 的有效期 - expires、max-age
     *  Cookie 的作用域 - domain、path
     *  服务器设置 Cookie
 *  Session
 *   *  Tomcat 中 getSession 的内部原理
     *  Session 的有效期
 *  Cookie Session 总结

> Java 从 0 到架构师目录：[【Java从0到架构师】学习记录][Java_0]

HTTP 是一种 **“无状态” (stateless)** 的协议

*  每次客户端访问网页时，客户端都会打开与 Web 服务器的单独连接
 *  并且服务器不会自动保留之前客户端请求的任何记录
 *  所以服务器无法识别多个请求是否来自同一个客户端（比如浏览器）

在很多应用场景中，都有以下需求

*  服务器能够识别出多个请求是否来自同一个客户端
 *  在来自同一个客户端的多个请求之间共享数据

以上需求可以使用**会话跟踪**技术来完成。在 Java 中，实现会话跟踪的常用方案是

*  Cookie
 *  Session

# Cookie #

> Cookie 的参考资料：
> 
>  *  [https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Cookies][https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Cookies]
>  *  [https://zh.javascript.info/cookie][https_zh.javascript.info_cookie]

Cookie 是直接存储在浏览器的一小串数据

*  使用 `document.cookie` 访问 Cookie
 *  修改 Cookie 时，只会修改其中提到的 Cookie
 *  `name=value` 必须被编码 (encodeURIComponent)
 *  一个 Cookie 最大为 4kb，每个网站最多有 20+ 个左右的 Cookie（具体取决于浏览器）

Windows 中 Chrome 浏览器的 Cookie 存放位置：

*  `C:\Users\用户名\AppData\Local\Google\Chrome\User Data\Default\Cookies`
 *  使用 SQLite 数据库进行存储

## Cookie 的有效期 - expires、max-age ##

如果没有设置 Cookie 的过期时间，则当浏览器关闭时，Cookie 就失效了

**expires**：指定具体的过期时间

*  必须完全采用 GMT 时区的格式，可以使用 `date.toUTCString` 来获取  
    例如：`expires=Tue, 19 Jan 2038 03:14:07 GMT`

**max-age**：指定过期时间距离当前时间的秒数  
例如：`max-age=60`

## Cookie 的作用域 - domain、path ##

domain 和 path 标识定义了 Cookie 的作用域，即 Cookie 应该发送给哪些 URL

**domain**：指定了哪些主机可以接收 Cookie

*  如果不指定，默认为当前文档的主机（不包含子域名）  
    如果指定了 domain，则一般包含子域名
 *  例如，设置 `domain=520it.com`，则 Cookie 也包含在子域名中（如 bbs.520it.com）

**path**：指定了主机下的哪些路径可以接受 Cookie，子路径也会被匹配

*  例如，设置 `path=/docs`，则以下地址都会匹配：`/docs`、`/docs/one/`、`/docs/one/img`

## 服务器设置 Cookie ##

Cookie 通常是由 Web 服务器使用 **响应头 Set-Cookie** 设置的

*  在 JavaScript中：如果设置为 0 或者负数，会立即删除 Cookie
 *  在 Java 中：如果设置为 0 会立即删除 Cookie  
    如果设置为负数，按默认情况处理（浏览器关闭删除 Cookie）

# Session #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70]

## Tomcat 中 getSession 的内部原理 ##

检查客户端是否有发送一个叫做 JSESSIONID 的 Cookie

如果没有：

*  创建一个新的 Session 对象，并且这个 Session 对象会有一个 id
 *  这个 Session 对象会保留在服务器的内存中
 *  在响应的时候，会添加一个 Cookie (`JSESSIONID=Session对象的id`) 给客户端

如果有：

*  返回 id 为 JSESSIONID 的 Session 对象

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70 1]

--------------------

默认情况下，当用户关闭浏览器时，Cookie 中存储的 JSESSIONID 就会被销毁

可以通过以下代码延长 JSESSIONID 在客户端的寿命：

Cookie cookie = new Cookie("JSESSIONID", request.getSession().getId());
    cookie.setMaxAge(3600);
    response.addCookie(cookie);

## Session 的有效期 ##

Session 的有效期默认是 30 分钟

可以在 web.xml 中配置失效时间（单位是分钟）

<session-config>
    	<session-timeout>30</session-timeout>
    </session-config>

# Cookie Session 总结 #

**Cookie**：

*  数据存储在**浏览器客户端**
 *  数据有大小和数量的限制（1 个 Cookie 最大 4kb）
 *  适合存储一些小型、不敏感的数据
 *  默认情况下，关闭浏览器后就会销毁

**Session**：

*  数据存储在**服务器端**
 *  数据没有大小和数量的限制
 *  可以存储大型、敏感的数据（比如用户信息）
 *  默认情况下，未使用 30 分钟后就会销毁

[Java_0]: https://blog.csdn.net/weixin_43734095/article/details/119067034
[https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Cookies]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Cookies
[https_zh.javascript.info_cookie]: https://zh.javascript.info/cookie
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70]: /images/20220829/d4db770c4037451599dee28600643398.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70 1]: /images/20220829/caf62d0ef4614eb684093bba058a1319.png