cookie和session 有什么区别

汪星人

状态管理
7 w0 G, Y8 W  Q! C3 [% f7 s        1)什么是状态管理
2 v' Q$ s3 Z% B" `, r                将客户端(一般是浏览器)与服务器之间的多次
        交互当作一个整体来看待，即将多次操作所涉及的
$ [7 D$ n  D8 W8 U, j        数据记录下来。
5 u' t7 i# p; [8 Y0 w4 L: y        2)怎样进行状态管理
                第一种方式，在客户端管理用户的状态
% n- k& e/ D: ~& K" M8 I                (cookie)。
' s, Z) t" h7 ]8 u. T( P1 Z% E/ ~/ e                第二种方式，在服务器端管理用户的状态
                (session)。
        3)cookie
8 v- J/ [1 Q+ y" P& d                a,什么是cookie?
( I! }" @1 a" K4 [& V0 b- C                        浏览器在访问服务器时，服务器将一些数据
                以set-cookie消息头的形式发送给浏览器。浏览
                器会将这些数据保存起来。当浏览器再次访问
                服务器时，会将这些数据以cookie消息头的形式
                发送给服务器。通过这种方式，可以管理用户的
                状态。
+ U& ~9 S0 r) \8 {                b,怎样创建cookie?
& t1 r3 J: ~% `. M1 v+ ~) r                        Cookie cookie = new Cookie(String name,
; I1 ]2 u" q: z                        String value);
; ^+ l8 s- H" {! K$ r2 H                        response.addCookie(cookie);
+ i! i9 I3 b9 o% Z! Z% b                c,查询cookie
                        //如果没有cookie，则返回null。
6 Q; ?$ w# g+ ]+ S  N: E                        Cookie[] cookies = request.getCookies();
; T4 A& q9 r0 N. M                        String name = cookie.getName();
                        String value = cookie.getValue();
, S' x9 f: X( A9 H$ O- b                d,cookie保存时的编码问题
                        cookie的值只能是ascii字符，如果是中文，
                        需要将中文转换成ascii字符形式。
4 V( b- v, B2 q+ ]                        可以使用URLEncoder.encode()方法和
                        URLDecoder.decode()方法来进行这种转换。
, I- }* J# e9 }' C                e,cookie的保存时间
                        cookie.setMaxAge(int seconds);
8 g6 v8 ]3 y: b0 f0 @6 O) V                        seconds > 0:浏览器会将cookie以文件的方式
                        保存在硬盘上。在超过指定的时间以后，会删除
* c  j+ m0 {: I7 t% @                        该文件。
                        seconds < 0:默认值，浏览器会将cookie保存
                        在内存里面。只有当浏览器关闭之后，才会删除。
, I/ w% y, i' U; L- s4 @9 F, H2 w$ s                        seconds = 0:删除。
                f,删除cookie
                        比如要删除一个name为"username"的cookie。
0 E) y3 i8 K' T* D2 a" A+ \                        Cookie c = new Cookie("username","");
: u. b6 D6 A0 q: o6 Y                        c.setMaxAge(0);
7 N3 }' c+ w# B% E% E7 r9 G                        response.addCookie(c);
                g,cookie的路径问题
                        浏览器在向服务器上的某个地址发送请求时，
                会先比较cookie的路径与向访问的路径(地址)是
8 ^# U. q: ^5 c. |: f                否匹配。只有匹配的cookie，才会发送。
1 h6 w6 y2 `% y. y                        cookie的路径可以通过
                        cookie.setPath(String path)方法来设置。
! ~3 e" h1 Z. `                        如果没有设置,则有一个缺省的路径，缺省的
9 M9 Q* f" J' G                        路径是生成该cookie的组件的路径。
% c1 b* n  i( |) r% V                                比如: /appname/addCookie保存了一个cookie,
                        则该cookie的路径就是/appname/addCookie。
$ T" ?; V; u- a% {! V- q! A                       
                        规则:
# L1 @' }9 ]; A! |+ h- U                                cookie的路径必须是要访问的路径的上层目录
                                或者是与要访问的路径相等，浏览器才会
/ R" E  ]* C4 V( n9 j& E9 |                                将cookie发送给服务器。
                               
                                一般可以设置setPath("/appname"),表示访问
# ?( ^2 |, W. K                                该应用下的所有地址，均会发送cookie。
                h,cookie的限制
6 \' H0 U0 N; F0 k! Z+ k, N# k                        cookie可以禁止
& _  U6 I( M: O6 h                        cookie的大小有限制(4k左右)
! @+ x; ^) [8 j7 a) v                        cookie的数量也有限制(浏览器大约能保存300个)       
                        cookie的值只能是字符串，要考虑编码问题。
                        cookie不安全
        练习：
                写一个Add_FindCookieServlet,该servlet先查询
* \% E: V6 g! ]        有没有一个名叫name的cookie，如果有，则显示
5 N$ y0 d$ Q/ I: j9 S        该cookie的值，如果没有，则创建该cookie(
        cookie的名字:name,cookie的值:zs)。
               
: J! {- \* V; f$ o, Z) B  G$ H               
        4)session       
" X' f0 H, c  Q8 G2 z1 g                a,什么是session?
2 M3 N% B$ M" E; W% Y8 }+ K                浏览器访问服务器时，服务器会创建一个session
                对象(该对象有一个唯一的id, 一般称为sessionId)
                。服务器在缺省情况下，会将sessionId以cookie
                机制发送给浏览器。当浏览器再次访问服务器时，
4 d9 k+ j4 d8 H& M& h3 K2 t. K                会将sessionId发送给服务器。服务器依据sessionId
8 u& K7 m: C9 \; u$ s7 H" e/ M                就可以找到对应的session对象。通过这种方式，
) d0 M1 `1 Z. z4 y+ E$ B' t                就可以管理用户的状态。
# r' B) }3 T+ Q. E8 ?" ^                b,如何获得session对象
0 d, C) M& j0 m. {8 Q                        方式一:
                                HttpSession session =
                                request.getSession(boolean flag);
                                当flag = true:
                                        服务器会先查看请求中是否包含sessionId,
% w9 R1 k, y( F, h                                        如果没有，则创建一个session对象。
4 z, `" l, w* |5 L) H0 |4 D" R                                        如果有，则依据sessionId去查找对应的
8 F6 `7 l( u# R; k# J0 \1 f* H# M                                        session对象，如果找到，则返回。
                                        如果找不到，则创建一个新的session对象。
6 K% p' }, u2 C) B, G* J                                当flag = false:
                                        服务器会先查看请求中是否包含sessionId,
* w6 m# o8 B% Z  x0 \" }- a. q; o. k                                        如果没有,返回null。
                                        如果有，则依据sessionId去查找对应的
3 e9 g* b% k6 b: m                                        session对象，如果找到，则返回。
$ I( q. a2 H" r( d                                        如果找不到，返回null。
                        方式二:
$ }0 g3 g1 [2 W! h  e1 b                                HttpSession session =
: @; l# w9 ^+ S6 h6 M# D' C                                request.getSession();
                                与request.getSession(true)等价。
: f* a0 r) D* \/ m" v5 g3 x, q+ H                c,HttpSession接口提供的一些方法
                                //获得sessionId。
                                String session.getId();
" i9 I; j/ l# D2 ]7 t8 [# a' L                                //绑订数据
! P7 b, j: u# W# q1 v9 }                                session.setAttribute(
                                String name,Object obj);
8 e" h4 s- e8 _                                //obj最好实现Serializable接口(服务器
                                在对session进行持久化操作时，比如钝化
6 t/ Y' u) a, K! A! z; _                                、激活，会使用序列化协议)。
                                Object session.getAttribute(String name);
8 K! c+ K& j% g) M$ }, U2 r' {                                //如果name对应的值不存在，返回null。
                                session.removeAttribute(String name);
# L+ h) M6 W) Q; {                d,session超时
* [9 ~  }$ [9 ?# W, t                                服务器会将超过指定时间的session对象
                        删除(在指定的时间内，该session对象没有
4 B2 Q5 H% `' F6 F7 v% V7 Y3 P8 \                        使用)。
                                方式一：
                                        session.setMaxInactiveInterval(
                                int seconds);
- N; k' S0 _  x8 Z) @% i                                方式二：
( @" W; {( q+ ^3 N" D                                        服务器有一个缺省的超时限制，可以
3 ~! Q7 X5 S: Q9 g% Z; d                                通过相应的配置文件来重新设置。
                                        比如可以修改tomcat的web.xml(
                                        tomcat_home/conf下面)。
                                        <session-config>
                        <session-timeout>30</session-timeout>
! T' h+ g6 x+ ]" w                            </session-config>
                                另外，也可以只修改某个应用的web.xml。
" j1 ~6 a9 a% Y) g. b6 \                e,删除session
6 F7 X9 T" t' h3 z! f                        session.invalidate();
& E3 l& a. j! U% C6 E6 c: v% I; w                       
        案例:
                session验证
, J" `* J0 r) D. i* S- d                step1 在登录成功之后，在session上绑订一些数据。
1 V8 w( c% y1 V8 c8 Q  X        比如:
( i3 x2 [9 [  i7 p" C                session.setAttribute("user",user);
                step2 在访问需要保护的页面或者资源时，执行
                Object obj = session.getAttribute("user")；
6 p% o4 u7 F2 w) I1 P5 J; W1 c4 W                如果obj为null,说明没有登录，一般重定向到
  S. ^' }( U; l8 v, U                登录页面。
  d9 Y2 L0 y8 Q2 l