cookie和session 有什么区别

汪星人

状态管理
        1)什么是状态管理
                将客户端(一般是浏览器)与服务器之间的多次
. s* X% J4 L7 c' {5 @& r; Z        交互当作一个整体来看待，即将多次操作所涉及的
" a1 p. P' y& g9 C9 M2 @! S        数据记录下来。
8 }# O$ {, m1 Z1 k- L7 s# x% {: s+ b2 n        2)怎样进行状态管理
  h' g5 i4 T/ u0 m                第一种方式，在客户端管理用户的状态
                (cookie)。
- K' S/ t6 J: @# ~: y, t9 K                第二种方式，在服务器端管理用户的状态
                (session)。
        3)cookie
                a,什么是cookie?
                        浏览器在访问服务器时，服务器将一些数据
                以set-cookie消息头的形式发送给浏览器。浏览
1 R# Y  q& V8 N                器会将这些数据保存起来。当浏览器再次访问
                服务器时，会将这些数据以cookie消息头的形式
                发送给服务器。通过这种方式，可以管理用户的
                状态。
                b,怎样创建cookie?
! P2 k4 D8 f" [! m$ v                        Cookie cookie = new Cookie(String name,
                        String value);
4 [$ g/ b# l8 \! Z! g                        response.addCookie(cookie);
( J: I/ u: d, p0 R# U6 b  N9 {                c,查询cookie
                        //如果没有cookie，则返回null。
                        Cookie[] cookies = request.getCookies();
& ~" u" V$ w% g5 r                        String name = cookie.getName();
+ ~5 H, H0 m6 F5 p: _3 E# I# m9 S                        String value = cookie.getValue();
                d,cookie保存时的编码问题
+ E# v( {0 S6 ?! {8 |                        cookie的值只能是ascii字符，如果是中文，
                        需要将中文转换成ascii字符形式。
" X# t6 Z+ ~, D: U1 x2 \                        可以使用URLEncoder.encode()方法和
                        URLDecoder.decode()方法来进行这种转换。
" T, A9 A9 k, k6 K$ Q% I+ J$ Z- m                e,cookie的保存时间
                        cookie.setMaxAge(int seconds);
0 n. P" U' @1 i6 R9 d1 w# X6 h3 Y4 j                        seconds > 0:浏览器会将cookie以文件的方式
                        保存在硬盘上。在超过指定的时间以后，会删除
; [9 N. T& h" U$ b                        该文件。
                        seconds < 0:默认值，浏览器会将cookie保存
- h* R% R- ~: d+ ~% |                        在内存里面。只有当浏览器关闭之后，才会删除。
" W. k8 H& g# u- K                        seconds = 0:删除。
                f,删除cookie
                        比如要删除一个name为"username"的cookie。
" \! v0 t1 K6 |7 b/ Z                        Cookie c = new Cookie("username","");
& g& ^  [6 P9 M7 b                        c.setMaxAge(0);
                        response.addCookie(c);
                g,cookie的路径问题
                        浏览器在向服务器上的某个地址发送请求时，
* k' g& o3 B$ F' J                会先比较cookie的路径与向访问的路径(地址)是
                否匹配。只有匹配的cookie，才会发送。
$ W2 ]/ w! w+ Q8 s! G# {% j                        cookie的路径可以通过
                        cookie.setPath(String path)方法来设置。
                        如果没有设置,则有一个缺省的路径，缺省的
9 c8 A/ {8 P/ K, Q. M% G1 c% i# b$ ?                        路径是生成该cookie的组件的路径。
                                比如: /appname/addCookie保存了一个cookie,
                        则该cookie的路径就是/appname/addCookie。
4 ]- c, T1 Y+ l; L                       
* w9 }# }) ?  j/ c: k                        规则:
9 q0 P( W: A) b9 C+ C& o                                cookie的路径必须是要访问的路径的上层目录
                                或者是与要访问的路径相等，浏览器才会
                                将cookie发送给服务器。
8 b7 H4 G; Q9 {, `                               
                                一般可以设置setPath("/appname"),表示访问
+ K/ h2 ]( {: [6 i3 A                                该应用下的所有地址，均会发送cookie。
9 O, `% `$ i" u9 t; y6 V, i1 c                h,cookie的限制
                        cookie可以禁止
* T; S/ _5 y1 Q1 H1 D                        cookie的大小有限制(4k左右)
                        cookie的数量也有限制(浏览器大约能保存300个)       
                        cookie的值只能是字符串，要考虑编码问题。
                        cookie不安全
        练习：
                写一个Add_FindCookieServlet,该servlet先查询
        有没有一个名叫name的cookie，如果有，则显示
        该cookie的值，如果没有，则创建该cookie(
        cookie的名字:name,cookie的值:zs)。
1 y" n( N) n4 G+ H               
7 @; u5 w  Z% y" \$ d               
        4)session       
                a,什么是session?
  @/ B' c4 m, q  T# B9 k                浏览器访问服务器时，服务器会创建一个session
$ ?. g1 t2 S+ J6 S# j                对象(该对象有一个唯一的id, 一般称为sessionId)
/ ]& U5 i9 r' E2 C) W6 k' Y                。服务器在缺省情况下，会将sessionId以cookie
                机制发送给浏览器。当浏览器再次访问服务器时，
3 Z4 A2 {+ \" Y0 p# k                会将sessionId发送给服务器。服务器依据sessionId
                就可以找到对应的session对象。通过这种方式，
                就可以管理用户的状态。
                b,如何获得session对象
                        方式一:
                                HttpSession session =
                                request.getSession(boolean flag);
/ U. r4 ~# I3 V, P! {" ]                                当flag = true:
                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有，则创建一个session对象。
2 F: y0 B! r2 q, w: o                                        如果有，则依据sessionId去查找对应的
6 h! e" y/ M4 [3 z7 r9 }                                        session对象，如果找到，则返回。
                                        如果找不到，则创建一个新的session对象。
                                当flag = false:
                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有,返回null。
$ F: o) G; y7 U$ u                                        如果有，则依据sessionId去查找对应的
                                        session对象，如果找到，则返回。
# Q8 ]' g- ~4 b; B                                        如果找不到，返回null。
                        方式二:
                                HttpSession session =
                                request.getSession();
                                与request.getSession(true)等价。
                c,HttpSession接口提供的一些方法
                                //获得sessionId。
                                String session.getId();
. \) i$ v, x* W7 i                                //绑订数据
                                session.setAttribute(
% Z" H7 g' S" v% |4 g  ~% i                                String name,Object obj);
. b0 a% r2 h& M4 g' G                                //obj最好实现Serializable接口(服务器
                                在对session进行持久化操作时，比如钝化
                                、激活，会使用序列化协议)。
                                Object session.getAttribute(String name);
                                //如果name对应的值不存在，返回null。
                                session.removeAttribute(String name);
5 F! B  A% l3 N% U$ p; i6 ?% H                d,session超时
                                服务器会将超过指定时间的session对象
- J% i, @! Y; |% g  E: `                        删除(在指定的时间内，该session对象没有
5 z) Z8 `& U# f# a1 h6 W4 C2 \- |                        使用)。
/ C& T# }& x. b& R; Q                                方式一：
& ?; d8 I/ p7 x6 }/ O6 U$ h+ T                                        session.setMaxInactiveInterval(
3 H6 Y" [1 J8 ~+ E0 S                                int seconds);
* m$ [( k: i9 f" l9 c9 s" R. _                                方式二：
8 ?, l, F' V' r2 m% \1 z1 s                                        服务器有一个缺省的超时限制，可以
0 O1 g% L) Y2 [/ v                                通过相应的配置文件来重新设置。
) U& x0 P( }. _/ V3 s+ h* S/ Q% z3 V                                        比如可以修改tomcat的web.xml(
                                        tomcat_home/conf下面)。
                                        <session-config>
                        <session-timeout>30</session-timeout>
! T! c9 c, j: ^8 V8 {7 W- a8 V  ^                            </session-config>
( E8 q# }, Z" C                                另外，也可以只修改某个应用的web.xml。
                e,删除session
                        session.invalidate();
. n4 p5 l8 c5 L* g, h                       
; Y4 N9 g6 F0 M        案例:
7 W9 N- O; v3 q! Z" }# s; Y                session验证
( q! S2 N; y0 L, T$ @                step1 在登录成功之后，在session上绑订一些数据。
) s+ b) R* S  S; ]5 p5 a( R3 b        比如:
                session.setAttribute("user",user);
8 @, _& f# ]7 m$ l4 G5 s                step2 在访问需要保护的页面或者资源时，执行
. M8 E2 ^8 H4 M4 e: s* {" q0 T                Object obj = session.getAttribute("user")；
0 O9 s/ r6 J- I7 Y8 m& E, O/ \( j                如果obj为null,说明没有登录，一般重定向到
                登录页面。