Servlet 之会话cookie与session

Posted 2020-08-09 幽幽子

　　简单地说，用户打开浏览器，发送多次请求并接受到来自服务器的响应，而后关闭浏览器，整个过程称之为一次会话。在多次请求中，为了共享数据，浏览器端采用cookie技术来保存与使用数据，而服务器端则是session技术(相对于一次会话的多次请求)。cookie技术不局限java，其他语言也支持。例如：php、javascript等。Javaweb中提供了javax.servlet.http.Cookie类提供了相关操作，对于服务器端的程序而言，使用cookie相关的api，只需要关注几个点：

　　怎么创建cookie，如何将cookie发送给浏览器，接收到请求时又如何取得其中的cookie。这里创建一个servlet，在doGet方法中实现，获取请求的cookie，如果有，将其删除；如果没有，创建cookie：

    protected void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        response.setCharacterEncoding("UTF-8");
        response.setContentType("text/html;charset=UTF-8");
        
        Cookie[] cookies = request.getCookies();
        if (null != cookies) {
            for (int i = 0; i < cookies.length; i++) {
                System.out.println("取得cookie: "+cookies[i].getName() + " " + cookies[i].getValue());
                cookies[i].setPath("/");
                cookies[i].setMaxAge(0);
                response.addCookie(cookies[i]);
            }
        } else {
            System.out.println("没有cookie");
            Cookie resCookie = new Cookie("testCookie", "testCookieValue");
            resCookie.setMaxAge(60 * 60 * 24);
            resCookie.setPath("/");
            response.addCookie(resCookie);
        }
        PrintWriter pw = response.getWriter();
        pw.write("中文字符");
    }

代码部署好之后，重复地请求该servlet，会出现如下效果(IE, Firefox, Chrome)

没有cookie
取得cookie: testCookie testCookieValue
没有cookie
取得cookie: testCookie testCookieValue
没有cookie

　　这段代码已经举例给出了如何创建cookie,如何获取cookie(注意要做非空判断)以及如何在响应中加入cookie。cookie的默认路径(一般设置resCookie.setPath("/");以此保证tomcat下可以共享相同的cookie)，另外，设置cookie的有效时间，参数单位为‘秒’，想要删除该cookie，可将其时间设置为0。

　　cookie的消息内容是放置在http的请求头和响应头里的，所以不支持中文：

Cookie resCookie = new Cookie("testCookie", "中文库克益");
resCookie.setMaxAge(60 * 60 * 24);
resCookie.setPath("/");
response.addCookie(resCookie);

====>

java.lang.IllegalArgumentException: Control character in cookie value or attribute.

如果需要放入中文，就需要用到JDK提供的编码和解码工具: URLEncoder,URLDecoder:

@SuppressWarnings("deprecation")
    protected void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        // TODO Auto-generated method stub
        response.setCharacterEncoding("UTF-8");
        response.setContentType("text/html;charset=UTF-8");
        
        Cookie[] cookies = request.getCookies();
        if (null != cookies) {
            for (int i = 0; i < cookies.length; i++) {
                System.out.println("取得cookie: "+cookies[i].getName() + " " + cookies[i].getValue());
                System.out.println(URLDecoder.decode(cookies[i].getValue()));
                cookies[i].setPath("/");
                cookies[i].setMaxAge(0);
                response.addCookie(cookies[i]);
            }
        } else {
            System.out.println("没有cookie");
            String cookieMsg = URLEncoder.encode("中文库克益");
            Cookie resCookie = new Cookie("testCookie", cookieMsg);
            resCookie.setMaxAge(60 * 60 * 24);
            resCookie.setPath("/");
            response.addCookie(resCookie);
        }
        PrintWriter pw = response.getWriter();
        pw.write("中文字符");
    }

-------------------------------------------------------------------------------->

　　写过用户登录的话，一定会对session不会陌生。JavaEE规范提供接口：javax.servlet.http.HttpSession 用于描述session对象，它是一次会话中，对共享数据进行管理的服务器端技术。

　　获取一个session:

　　　　request.getSession()  获得session，如果没有将创建一个新的。等效request.getSession(true);

　　　　request.getSession(boolean) 获得session，true：没有将创建，false：没有将返回null.

　　也可以进行属性相关的操作:session.xxxAttribute().

　　基于cookie，也就是说，如果浏览器禁用cookie，那么默认情况下，session将会失效。这里用一副图来说明session与cookie的关系:

 

　　当第一次调用 request.getSession() ，tomcat将创建一个session对象，并将session对象id值，以cookie方式发送给浏览器，之后浏览器再次请求时，将session id 发送服务器，服务器通过request.getSession() 就可以获取之前已经创建好的session对象。如果此时浏览器禁用cookie，那么在返回的请求中就不会包含cookie，服务器找不到JSESSIONID，无法获取到先前的session内容，于是会重新创建一个session id。

　　对于一个session，它的创建就是从第一次调用request.getSession()时创建。而它的消亡，除了服务器非正常关闭（正常关闭时持久化，写入到文件中），可能是超时--可以在web.xml中设置它的最大时限(单位:分钟):

  ...
  <session-config>
      <session-timeout>30</session-timeout>
  </session-config>
</web-app>

另外，可以调用api，将其销毁：

　　invalidate() 将session对象销毁了。

　　setMaxInactiveInterval(int interval) 设置有效时间，单位秒

　　那么，如果浏览器真的禁用了cookie，我们怎么将session id传递给服务器呢？

　　　　通过URL将session id 传递给服务器：URL重写

       　　手动方式： url;jsessionid=....

       　　api方式：

             　　 encodeURL(java.lang.String url) 进行所有URL重写

              　　encodeRedirectURL(java.lang.String url) 进行重定向 URL重写

                     　　如果参数url为空字符不同，其他都一样。

                     　　如果浏览器禁用cooke，api将自动追加session id ，如果没有禁用，api将不进行任何修改。

　　注意：如果浏览器禁用cookie，web项目的所有url都需手动重写。否则session将不能正常工作。