JavaEE 要懂的小事：三、图解Session（会话）

阅读量：4992 次

发布时间：2019-06-12

本文共 4193 字，大约阅读时间需要 13 分钟。

Writer ：BYSocket（泥沙砖瓦浆木匠）

微博：

豆瓣：

FaceBook：

Twitter ：

相继和之后，中间迷茫期哈，没写了！可是又要告诉你自己明明喜欢写为啥不写了！那就写吧，学到老学到老~ 然后写到老！本系列皆以图为主，力求简单易懂，娓娓道来`

一、Session由来

HTTP的无状态，也就是说，每次请求都是独立的线程。举个例子吧：购物中，你选择了A商品，加入购物车，这就是A线程。然后在选择B商品就是B线程。可是每次线程独立（对容器而言，A、B成了不同的用户），线程A不知道有B，B也不知道A。如何一起付款呢？

简答来说：怎么保存同个用户多个请求会话状态呢？自然HTTPS保证连接是安全的，可以使它与一个会话关联。

问题就在于如何跟踪同一个用户，选择自然很多：

1、EJB(有状态会话bean保存会话状态) 环境苛刻需要带EJB的J2EE服务器，而不是Tomcat这种Web容器。

2、数据库（这貌似万能的。针对数据）

3、就是我们要讲的HttpSeesion，保存跨一个特定用户多个请求的会话状态。

4、上面说的HTTPS,条件太苛刻了。

如图：

二、Session机制

机制，什么用词有点高大上。其实就是把它内在的一点东西说出来。主要两个W：What？How？

What is Session?

Session代表着服务器和客户端一次会话的过程。直到session失效（服务端关闭），或者客户端关闭时结束。

How does session works？

Session 是存储在服务端的，并针对每个客户端（客户），通过SessionID来区别不同用户的。Session是以Cookie技术或URL重写实现。默认以Cookie技术实现，服务端会给这次会话创造一个JSESSIONID的Cookie值。

补充：

其实还有一种技术：表单隐藏字段。它也可以实现session机制。这里只是作为补充，服务器响应前，会修改form表单，添加一个sessionID类似的隐藏域，以便传回服务端的时候可以标示出此会话。

这技术，也可以使用在Web安全上，可以有效地控制CRSF跨站请求伪造。

三、详细介绍Seesion机制过程

图中这是session第一次请求的详细图。以Cookie技术实现，我也写了个HttpSessionByCookieServletT.java 的Servlet小demo，模拟下Seesion的一生。代码如下：

                         
package
org.servlet.sessionMngmt;
import
java.io.IOException;
import
java.io.PrintWriter;
import
javax.servlet.ServletException;
import
javax.servlet.annotation.WebServlet;
import
javax.servlet.http.HttpServlet;
import
javax.servlet.http.HttpServletRequest;
import
javax.servlet.http.HttpServletResponse;
import
javax.servlet.http.HttpSession;
/*
 
* Copyright [2015] [Jeff Lee]
 
*
 
* Licensed under the Apache License, Version 2.0 (the "License");
 
* you may not use this file except in compliance with the License.
 
* You may obtain a copy of the License at
 
*
 
*   
 
*
 
* Unless required by applicable law or agreed to in writing, software
 
* distributed under the License is distributed on an "AS IS" BASIS,
 
* WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
 
* See the License for the specific language governing permissions and
 
* limitations under the License.
 
*/
/**
 
* @author Jeff Lee
 
* @since 2015-7-12 10:58:28
 
*  HttpSession的默认Cookie实现案例
 
*/
@WebServlet
(urlPatterns = 
"/sessionByCookie"
)
public
class
HttpSessionByCookieServletT 
extends
HttpServlet { 
    
private
static
final
long
serialVersionUID = 1L;
    
@Override
    
protected
void
doGet(HttpServletRequest req, HttpServletResponse resp)
            
throws
ServletException, IOException { 
        
        
// 获取session
        
// 如果是第一次请求的话，会创建一个HttpSeesion，等同于 req.getSession(true);
        
// 如果已存在session，则会获取session。
        
HttpSession session = req.getSession();
        
        
if
(session.isNew()) { 
            
// 设置session属性值
            
session.setAttribute(
"name"
, 
"Jeff"
);
        
}
        
// 获取SessionId
        
String sessionId = session.getId();
        
        
PrintWriter out = resp.getWriter();
        
// 如果HttpSeesion是新建的话
        
if
(session.isNew()) { 
            
out.println(
"Hello,HttpSession! <br>The first response - SeesionId="
                    
+ sessionId + 
" <br>"
);
        
} 
else
{ 
            
out.println(
"Hello,HttpSession! <br>The second response - SeesionId="
                    
+ sessionId + 
" <br>"
);
            
// 从Session获取属性值
            
out.println(
"The second-response - name: "
                    
+ session.getAttribute(
"name"
));
        
}
        
    
}
    
}
        
      