一分钟搞懂session工作原理 什么是session对象

图中可以看出，第三列的Domian有：.baidu.com顶级域名和.teiba.baidu.com二级域名；所以这里就有一个访问规则：顶级域名只能设置或访问顶级域名的Cookie，二级以下的域名只能访问或设置自身或者顶级域名的Cookie，所以如果要在多个二级域名中共享Cookie的话，只能将Domain的属性设置为顶级域名。

Path表示可以访问此Cookie的页面路径；如path=/test，那么只有/test路径下的页面可以读取此Cookie。

3、Expire/Max-Age

Expire/Max-Age表示此cookie的超时时间；若设置其值为一个时间，那么当到达此时间后，此cookie则会失效；不设置的话默认值是Session，意思是cookie会和session一起失效；当浏览器关闭(关闭整个浏览器，而不是浏览器的标签页)后，此cookie失效。另外，当Cookie的过期时间被设定时，设定的日期和时间只与客户端相关，与服务端无关。

4、Size

Size表示Cookie的name+value的字符数，比如有一个Cookie：id=666，那么Size=2+3=5。2即是name，3即为value，各个浏览器对Cookie的支持都有所不同，如下图：

图6. 各浏览器Cookie支持的个数

5、HTTP

HTTP表示cookie的httponly属性；若此属性为true，则只有在http请求头中会带有此cookie的信息，而不能通过document.cookie来访问此cookie。这么设计是为了提供一个安全措施来帮助阻止通过JavaScript发起的跨站脚本攻击(XXS)窃取cookie的恶劣行为。

图7. document.cookie

6、Secure

Secure表示是否只能通过https来传递此条cookie；不像其他选项，该选项只是一个标记并且没有其他的值。

五、Java操作Cookie

1、生成Cookie

 1 package com.ausclouds.bdbsec.auth.cmb;
 2 
 3 import javax.servlet.http.Cookie;
 4 import javax.servlet.http.HttpServlet;
 5 import javax.servlet.http.HttpServletRequest;
 6 import javax.servlet.http.HttpServletResponse;
 7 
 8 public class CookieServlet extends HttpServlet {
 9 
10 @Override
11 protected void service(HttpServletRequest req, HttpServletResponse resp){
12 //创建Cookie对象
13 Cookie comCookie = new Cookie("computer", "HP");
14 //服务器把cookie响应给客户端，所有的cookie对象，都会在服务器端创建，通过http响应给客户端(浏览器)
15 
16 //如果不设置使用时间，则取不到Cookie的值
17 comCookie.setMaxAge(60*60*24*30);
18 
19 //一旦设置了cookie的路径，就只能通过这一个路径才能获取到cookie的信息
20 comCookie.setPath(req.getContextPath() + "/getCookie.sxt");
21 
22 //添加cookie
23 resp.addCookie(comCookie);
24 
25 }
26 }

2、获取Cookie

 1 package com.ausclouds.bdbsec.auth.cmb;
 2 
 3 import javax.servlet.http.Cookie;
 4 import javax.servlet.http.HttpServlet;
 5 import javax.servlet.http.HttpServletRequest;
 6 import javax.servlet.http.HttpServletResponse;
 7 
 8 public class GetCookieServlet extends HttpServlet {
 9 
10 @Override
11 protected void service(HttpServletRequest req, HttpServletResponse resp){
12 //获取cookie信息
13 Cookie[] cookies = req.getCookies();
14 for (int i = 0; i<cookies.length; i++){
15 System.out.println(cookies[i].getName() + ":" + cookies[i].getValue());
16 }
17 }
18 
19 }

3、删除Cookie

//删除Cookie的思路就是替换原来的cookie，并设置它的生存时间为0
Cookie cookie = new Cookie("Cookie",null);//cookie名字要相同
 　　 cookie.setMaxAge(0); //
 cookie.setPath(request.getContextPath()); // 相同路径
 response.addCookie(cookie);

六、Session

1、诞生背景

其实设计Cookie之初，它并不是仅仅保存了一个key值，而是直接保存用户的信息，但是由于cookie是存在客户端的，而且本身存储的尺寸大小也是有限的，最关键的是用户是可见的，并且可以随意地修改，这相当地不安全。为了既安全又方便的读取全局信息，于是诞生了Session这种新的存储会话机制。

2、什么是Session

Session翻译为会话，服务器为每个浏览器创建一个会话对象，浏览器在第一次请求服务器时，服务器便会为该浏览器生成一个Seesion对象，保存在服务端，并且把Session的Id以cookie的形式发送给客户端浏览器，最终以用户显示结束或session超时为结束。

Session工作原理：

1.当某个用户向服务器发送第一个请求时，服务器为其建立一个sesion，并为此session创建一个标识号(sessionID)；

2.这个用户随后的所有请求都应包括这个标识号(sessionID)，服务器会校对这个标识号以判断请求是属于哪个session的；

3.sessionID标识号有两种实现方式：Cookie和URL重写；

4.Cookie是将数据直接保存在客户端，而Session是将数据保存在服务端，所以Session的安全性更佳。

图8. Session工作原理(基于Cookie实现)

ActionContext actionContext = ActionContext.getContext();
Map<String, Object> mapSession = actionContext.getSession();
mapSession.put("branch", branch);
mapSession.put("permission", per);

1 if(session.getAttribute("branch") == null||session.getAttribute("permission") == null)
2 {
3 response.setCharacterEncoding("utf-8");
4 out.print("<script>alert('您还没有登录，请登录') </script>");
5 out.flush();
6 out.close();
7 }

1 ActionContext actionContext = ActionContext.getContext();
2 Map session = actionContext.getSession();
3 String inputUserid =(String)session.get("username");
4 String proving =(String)session.get("proving");

<img src="http://bank.example.com/withdraw#account=bob&amount=1000000&for=mallory">