cookie和session 有什么区别

汪星人

状态管理
        1)什么是状态管理
                将客户端(一般是浏览器)与服务器之间的多次
        交互当作一个整体来看待，即将多次操作所涉及的
        数据记录下来。
- S* O/ ~1 R0 j        2)怎样进行状态管理
( I% I4 L# ?. Z- d                第一种方式，在客户端管理用户的状态
                (cookie)。
1 M6 W7 N% Z, S5 K8 |$ S5 Q                第二种方式，在服务器端管理用户的状态
                (session)。
) u; t  j. N- M" `7 O& k0 G        3)cookie
                a,什么是cookie?
                        浏览器在访问服务器时，服务器将一些数据
                以set-cookie消息头的形式发送给浏览器。浏览
                器会将这些数据保存起来。当浏览器再次访问
" u) q" E  E8 @1 W9 q+ k                服务器时，会将这些数据以cookie消息头的形式
                发送给服务器。通过这种方式，可以管理用户的
/ Z% F, X8 K4 }- N' l                状态。
' N4 W0 r7 o& M9 N* A7 _                b,怎样创建cookie?
                        Cookie cookie = new Cookie(String name,
                        String value);
                        response.addCookie(cookie);
                c,查询cookie
                        //如果没有cookie，则返回null。
                        Cookie[] cookies = request.getCookies();
9 p* |3 Y* `* \: `' Y. Y                        String name = cookie.getName();
                        String value = cookie.getValue();
                d,cookie保存时的编码问题
                        cookie的值只能是ascii字符，如果是中文，
: m5 _5 f: T3 [                        需要将中文转换成ascii字符形式。
                        可以使用URLEncoder.encode()方法和
                        URLDecoder.decode()方法来进行这种转换。
1 Y3 j) i: Y( e) Z/ S! {, g                e,cookie的保存时间
- [* F# F. e* a# K, F( a% X+ ~" f                        cookie.setMaxAge(int seconds);
                        seconds > 0:浏览器会将cookie以文件的方式
0 o$ R  y6 X9 d8 p                        保存在硬盘上。在超过指定的时间以后，会删除
                        该文件。
; s! _2 n* Q1 G                        seconds < 0:默认值，浏览器会将cookie保存
                        在内存里面。只有当浏览器关闭之后，才会删除。
0 b% T. |4 ~+ b/ k* p7 |. T: w  t1 M                        seconds = 0:删除。
! o6 R9 e- l+ ~$ S: q" E1 |8 t                f,删除cookie
                        比如要删除一个name为"username"的cookie。
                        Cookie c = new Cookie("username","");
                        c.setMaxAge(0);
& v  R6 {- z3 ~( k8 B2 p                        response.addCookie(c);
                g,cookie的路径问题
, V1 t9 o( X2 c( \. p* ]                        浏览器在向服务器上的某个地址发送请求时，
( |: T. d4 i7 Z" I                会先比较cookie的路径与向访问的路径(地址)是
                否匹配。只有匹配的cookie，才会发送。
* R- f  r0 H; b2 n- x$ r                        cookie的路径可以通过
                        cookie.setPath(String path)方法来设置。
( ]& k5 E4 q4 k8 q7 v. U                        如果没有设置,则有一个缺省的路径，缺省的
# T. _, u% g5 j0 ~& u6 ~                        路径是生成该cookie的组件的路径。
9 L4 q' d, q! [                                比如: /appname/addCookie保存了一个cookie,
+ k% }" }) h8 n                        则该cookie的路径就是/appname/addCookie。
                       
                        规则:
$ n0 j/ p$ K: x5 b# K; G. `                                cookie的路径必须是要访问的路径的上层目录
                                或者是与要访问的路径相等，浏览器才会
" t8 t, R! b2 K- O1 t0 U                                将cookie发送给服务器。
                               
                                一般可以设置setPath("/appname"),表示访问
                                该应用下的所有地址，均会发送cookie。
                h,cookie的限制
                        cookie可以禁止
                        cookie的大小有限制(4k左右)
                        cookie的数量也有限制(浏览器大约能保存300个)       
$ n: _( a9 D) D4 ?5 u                        cookie的值只能是字符串，要考虑编码问题。
3 C  K$ I" c" D$ C                        cookie不安全
        练习：
9 T0 h, @1 U4 D! l* C                写一个Add_FindCookieServlet,该servlet先查询
        有没有一个名叫name的cookie，如果有，则显示
        该cookie的值，如果没有，则创建该cookie(
        cookie的名字:name,cookie的值:zs)。
4 k( d* f& b: M, A/ R               
               
        4)session       
                a,什么是session?
4 o$ {+ P. u0 E                浏览器访问服务器时，服务器会创建一个session
                对象(该对象有一个唯一的id, 一般称为sessionId)
% ]9 S- y( r4 v* e) k/ G+ S                。服务器在缺省情况下，会将sessionId以cookie
' Q  j/ {  @- m; t" A0 `                机制发送给浏览器。当浏览器再次访问服务器时，
3 w# g+ P" I* ^. L                会将sessionId发送给服务器。服务器依据sessionId
                就可以找到对应的session对象。通过这种方式，
6 j; \% i' C! B                就可以管理用户的状态。
                b,如何获得session对象
                        方式一:
+ X% z) @; u. `% f* \6 z                                HttpSession session =
6 i3 y  k- O- I9 p                                request.getSession(boolean flag);
1 P: T' [* O  f2 n) [/ ?/ ?8 I                                当flag = true:
                                        服务器会先查看请求中是否包含sessionId,
8 s* L5 n5 }, K  ?" c8 N                                        如果没有，则创建一个session对象。
- d$ E* k0 e4 y  W; M                                        如果有，则依据sessionId去查找对应的
                                        session对象，如果找到，则返回。
                                        如果找不到，则创建一个新的session对象。
                                当flag = false:
                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有,返回null。
" |+ L8 _2 y6 M  u0 W" W) o) Q" W4 b                                        如果有，则依据sessionId去查找对应的
                                        session对象，如果找到，则返回。
                                        如果找不到，返回null。
                        方式二:
                                HttpSession session =
                                request.getSession();
& s5 N" _; i" N: ^6 y7 N3 m                                与request.getSession(true)等价。
                c,HttpSession接口提供的一些方法
                                //获得sessionId。
, c" C" V& Z+ z' C                                String session.getId();
+ p, u( J- T! G3 ?# A                                //绑订数据
                                session.setAttribute(
' I7 f2 z' [. }& v                                String name,Object obj);
                                //obj最好实现Serializable接口(服务器
                                在对session进行持久化操作时，比如钝化
5 T3 ]( F3 g3 y0 I                                、激活，会使用序列化协议)。
                                Object session.getAttribute(String name);
                                //如果name对应的值不存在，返回null。
                                session.removeAttribute(String name);
% x* G& K, m9 F/ `( T' A, Z                d,session超时
                                服务器会将超过指定时间的session对象
- \7 I; h7 u% K) w( H                        删除(在指定的时间内，该session对象没有
& I  V' r; R% V; i, n) k9 N                        使用)。
: s+ c' E1 c) k% |# ^8 }                                方式一：
  t; E- ^4 S& ~, g& w0 L! o0 y. p8 d4 w                                        session.setMaxInactiveInterval(
3 J8 D% x+ l7 O                                int seconds);
. D  R1 Q1 e9 B# t+ y- z/ g                                方式二：
                                        服务器有一个缺省的超时限制，可以
; Y& o" U( \# a9 z                                通过相应的配置文件来重新设置。
8 l) b6 M  b3 e! @; _# R                                        比如可以修改tomcat的web.xml(
                                        tomcat_home/conf下面)。
# O0 M8 U# m4 f* D4 O                                        <session-config>
% y& f% f) T& H3 q                        <session-timeout>30</session-timeout>
                            </session-config>
' p/ o# R7 f% t' M2 {! c                                另外，也可以只修改某个应用的web.xml。
- ]# \! d% {. U: S* T6 [" e- @                e,删除session
                        session.invalidate();
                       
; q  C* d% E$ N6 G7 C* P        案例:
                session验证
                step1 在登录成功之后，在session上绑订一些数据。
        比如:
                session.setAttribute("user",user);
                step2 在访问需要保护的页面或者资源时，执行
- B& m% I+ n& f                Object obj = session.getAttribute("user")；
                如果obj为null,说明没有登录，一般重定向到
                登录页面。
$ v( D( ~( J; p6 K0 Y  z/ n
4 @2 s" c0 f$ b) d& f