你的位置:首页 > Java教程

[Java教程]会话跟踪Cookie与Session


    会话跟踪用来跟踪用户的整个会话,常用的是Session和Cookie。Cookie通过客户端记录信息确定用户身份,Session通过在服务器端记录信息确定用户身份。

1.Cookie 

1.1概念及使用方法

  Cookie实际上是一小段文本信息。客户端请求服务器,如果服务器需要记录该用户状态,就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来,当浏览器再请求该网站时,把请求的网址连同该Cookie一同交给服务器。服务器检查该Cookie,以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

  java中把Cookie封装成了javax.servlet.http.Cookie类。每个Cookie都是该Cookie类的对象。服务器通过操作Coolkie类对象对客户端Cookie进行操作。通过request.getCookie()获取客户端提交的所有Cookie(Cookie[]),通过response.addCookie(Cookie cookie)向客户端设置Cookie。

  Cookie对象使用key-value属性对的形式保存用户状态,一个Cookie对象保存一个属性对,一个request或者response同时使用多个Cookie。因为Cookie类位于包javax.servlet.http.*下面,所以JSP中不需要import该类。

1.2不可跨域名性

  根据域名的不同,网站只能操作自己的Cookie,这是由客户端浏览器决定的。

1.3Unicode编码:保存中文

  使用时可以用如下语句生成Cookie  及从Cookie中取值

Cookie cookie = new Cookie(URLEncoder.encode("姓名","UTF-8"));String cookieName=URLDecoder.decode(cokie.getName()),"UTF-8";

1.4BASE64编码:保存二进制图片

//inbyte binary;//输入流输入图片String content = BASE64Encoder.class.newInstance().encode(binary);Cookie cookie=new Cookie("file", content);//outbyte[] binary=BASE64Decoder.class.newInstance().decodeBuffer(cookie.getValue(),.replace(" ",""));response.getOutputStream().write(binary);

1.5Cookie的所有属性

 

1.6Cookie的有效期

   Cookie的maxAge决定着Cookie的有效期,单位为妙。Cookie中通过getMaxAge()方法与setMaxAge(int maxAge)方法来读写maxAge属性。

  如果maxAge属性为正数,则表示该Cookie会在maxAge秒之后自动失效。浏览器会将其写到对应的Cookie文件中,下面的Cookie信息将永远有效。

cookie.setMaxAge(Integer.MAX_VALUE);

  如果maxAge为负数,则表示该Cookie仅在本浏览器窗口以及本窗口打开的子窗口内有效,关闭窗口后该Cookie失效。不会被写入Cookie文件中。

1.7删除和修改

  如果maxAge为0,则表示删除该Cookie。

  response对象提供的Cookie操作方法只有一个添加操作add,要想修改Cookie只能使用一个同名的Cookie来覆盖原来的Cookie。

1.8Cookie的域名

  同一一级域名下的二级域名不可交互使用Cookie,如果想二级域名下都可以使用该Cookie,需要设置Cookie的domain参数

1.9Cookie的路径

  path属性决定允许访问Cookie的路径,path属性需要使用符号“/”结尾。

1.10JavaScript操作Cookie

  document.cookie可以获得本页面所有的Cookie,各Cookie之间用分号";"隔开。获取Cookie可以用split函数切Cookie字符串。

  设置Cookie可以直接赋值 document.cookie = name + "=" + emcodeURI(value);

 

2.Session

2.1概念及使用方法

  客户端浏览器访问服务器的时候,服务器把客户端信息以某种形式记录在服务器上,客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以。对应的类为javax.servlet.http.HttpSession。每个来访者对应一个Session对象,所有该客户的状态信息都保存在这个Session对象里。在客户端第一次请求服务器时创建。

  Servlet中必须使用request来编程式获取HttpSession对象,而JSP中内置了Session隐藏对象,可以直接使用。 request.getSession()方法获取Session,使用getAttribute(String key)和setAttribute(String key, Object value)方法来读写客户状态信息。

2.2Session的生命周期

  Session保存在服务器内存中,每个用户都会有一个独立的Session,因此Session里的信息应该尽量精简。Session生成后,只要用户继续访问,服务器就会更新Session的最后访问时间,并维护该Session。服务器会把长时间没有活跃的Session从内存删除,Session就自动失效。Session的超时时间为maxInactiveInterval属性,可以通过getMaxInativeInterval()获取,通过setMaxInactiveInterval(long interval)修改。Session的超时时间也可以在web.

2.3Session的常用方法

  

2.4Session与浏览器

  Http协议是无状态的,Session不能依据Http连接来判断是否是同一客户,因此服务器向客户端浏览器发送一个名为JSESSIONID的Cookie,它的值为该Session的id,Session依据该Cookie来识别是否为同一用户。该Cookie为服务器自动生成的,它的maxAge属性一般为-1。同一机器的两个浏览器会生成两个不同的Session,但是由浏览器窗口内的链接、脚本等打开新窗口除外。这类子窗口会共享父窗口的Cookie,因此会共享一个Session。

  如果浏览器禁用Cookie或者不支持Cookie,就需要用到URL地址重写。

  URL地址重写是对客户端不支持Cookie的解决方案。URL地址重写的原理是将该用户Session的id信息重写到URL地址中。服务器能够解析重写后的URL获取Session的ID。  

 

3.Cookie与Session区别

  Cookie只能保存ASCII字符串,如果需要存取Unicode字符或者二进制数据,需要进行UTF-8,GBK或者BASE64等方式编码。Cookie也不能直接存取Java对象。Session可以存取任何类型的数据。

  Session不存在敏感信息泄露的危险,如果选用Cookie,敏感信息尽量不要写到Cookie中。

  Cookie可以永久有效,Session不能实现。

  并发浏览的用户非常多时,最好使用Cookie。

  对于WAP应用, Session+URL地址重写。

  Cookie通过设置domain属性,可以实现跨域名(二级域名),Session则不会支持跨域名。