cookie和session 有什么区别

汪星人

状态管理
! K6 [" N8 n8 J0 M        1)什么是状态管理
                将客户端(一般是浏览器)与服务器之间的多次
        交互当作一个整体来看待，即将多次操作所涉及的
/ j5 Z2 t7 {/ i' {. r+ Q+ f        数据记录下来。
        2)怎样进行状态管理
  l6 z; e6 c3 \. x                第一种方式，在客户端管理用户的状态
% V8 i- E) H0 F. T. ~% ^/ l/ X                (cookie)。
                第二种方式，在服务器端管理用户的状态
# g' \  L; J! e: p& D! Y! a                (session)。
2 c( o5 i( E$ D        3)cookie
                a,什么是cookie?
                        浏览器在访问服务器时，服务器将一些数据
                以set-cookie消息头的形式发送给浏览器。浏览
                器会将这些数据保存起来。当浏览器再次访问
7 N2 d+ f" d9 q: o8 r9 e4 ^; Y                服务器时，会将这些数据以cookie消息头的形式
, J5 \& D6 @: a- b) G                发送给服务器。通过这种方式，可以管理用户的
2 \$ T. e# U$ e" J* m5 @% `& s( ~                状态。
                b,怎样创建cookie?
                        Cookie cookie = new Cookie(String name,
: P5 D, o$ _' V3 F$ x. s. R                        String value);
                        response.addCookie(cookie);
                c,查询cookie
                        //如果没有cookie，则返回null。
                        Cookie[] cookies = request.getCookies();
                        String name = cookie.getName();
) l" [/ ]/ ~/ n/ f3 q  q8 V                        String value = cookie.getValue();
                d,cookie保存时的编码问题
, w, r; w4 P# ~' d                        cookie的值只能是ascii字符，如果是中文，
& |# b6 s0 K' P) L2 k- A% `$ J                        需要将中文转换成ascii字符形式。
                        可以使用URLEncoder.encode()方法和
# l8 @. l; H+ k, I1 T) x2 }                        URLDecoder.decode()方法来进行这种转换。
  D" Y) r' d- a+ d% q                e,cookie的保存时间
( Z7 K+ E9 x$ ^! t+ e                        cookie.setMaxAge(int seconds);
# W( `' w$ p: }5 s. [                        seconds > 0:浏览器会将cookie以文件的方式
                        保存在硬盘上。在超过指定的时间以后，会删除
9 n' `0 L, S1 d% I# N6 W2 N                        该文件。
; C% `0 t' K0 u; |; Z                        seconds < 0:默认值，浏览器会将cookie保存
                        在内存里面。只有当浏览器关闭之后，才会删除。
                        seconds = 0:删除。
. v) _) g1 @  L) E7 g                f,删除cookie
% B/ P4 r" L7 i8 F9 T& [# {" Z/ B                        比如要删除一个name为"username"的cookie。
+ h% J( Z& m9 O5 r                        Cookie c = new Cookie("username","");
: ?5 H8 L: T1 q  |. H! v) a                        c.setMaxAge(0);
! Q2 k  W2 L* n! E1 R% l                        response.addCookie(c);
                g,cookie的路径问题
% K& L8 C7 F4 K2 S3 V                        浏览器在向服务器上的某个地址发送请求时，
6 T# }) j; ~; y! r' C( `                会先比较cookie的路径与向访问的路径(地址)是
                否匹配。只有匹配的cookie，才会发送。
                        cookie的路径可以通过
                        cookie.setPath(String path)方法来设置。
8 V0 @, I$ H; k                        如果没有设置,则有一个缺省的路径，缺省的
" q9 S- L# t( x/ H- i+ j3 M+ N+ r/ L                        路径是生成该cookie的组件的路径。
2 E5 K, d8 B: P( z5 @; G) L                                比如: /appname/addCookie保存了一个cookie,
                        则该cookie的路径就是/appname/addCookie。
5 ^/ s& E& ?8 t1 h- \# X                       
! G5 G+ T" _+ l2 Z  i                        规则:
                                cookie的路径必须是要访问的路径的上层目录
8 X. E5 @" {% Q( x% I% m7 C0 h( G                                或者是与要访问的路径相等，浏览器才会
                                将cookie发送给服务器。
/ A7 r* N2 c0 G" v# n9 I0 @7 `                               
                                一般可以设置setPath("/appname"),表示访问
+ Q- R- c) x5 G' `; c: Y' [                                该应用下的所有地址，均会发送cookie。
                h,cookie的限制
+ J! \! _0 o, F5 K2 l                        cookie可以禁止
                        cookie的大小有限制(4k左右)
' ^5 d: E5 F0 c6 y                        cookie的数量也有限制(浏览器大约能保存300个)       
$ V* t5 f& {- |/ b# C% R' b3 ]' H                        cookie的值只能是字符串，要考虑编码问题。
$ w" D4 c% _% X3 ~- A                        cookie不安全
        练习：
                写一个Add_FindCookieServlet,该servlet先查询
0 b( k) F6 I7 g2 h; ~$ Z9 T        有没有一个名叫name的cookie，如果有，则显示
& j. ]0 ]  e! |# v        该cookie的值，如果没有，则创建该cookie(
        cookie的名字:name,cookie的值:zs)。
               
/ }* ]6 z' ]4 ]3 s: T               
        4)session       
                a,什么是session?
                浏览器访问服务器时，服务器会创建一个session
% v5 f- }& X/ E# |, I9 j5 J                对象(该对象有一个唯一的id, 一般称为sessionId)
# r4 h: `2 F4 G- c: M) \+ L2 _                。服务器在缺省情况下，会将sessionId以cookie
; g& l4 E  {$ i& _& T  P                机制发送给浏览器。当浏览器再次访问服务器时，
                会将sessionId发送给服务器。服务器依据sessionId
                就可以找到对应的session对象。通过这种方式，
                就可以管理用户的状态。
& Z& v9 E. U$ {# \/ m                b,如何获得session对象
                        方式一:
0 S; k: v- x: ^; ^  ?' X                                HttpSession session =
, U/ [6 v8 D' Q% ~% K) k                                request.getSession(boolean flag);
% T  H0 m- l' [' R; j0 u1 `                                当flag = true:
7 g. l& J; ]$ ^                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有，则创建一个session对象。
  {/ H; L% n, e* A6 n                                        如果有，则依据sessionId去查找对应的
2 u: a7 t8 G  q5 A. q* ]                                        session对象，如果找到，则返回。
5 i6 j( W, {, ~% \% g                                        如果找不到，则创建一个新的session对象。
                                当flag = false:
( S% B- y1 g- g4 @0 _: T                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有,返回null。
                                        如果有，则依据sessionId去查找对应的
  T. z8 |  \' T4 K                                        session对象，如果找到，则返回。
                                        如果找不到，返回null。
% b: Y) k; e/ _* _7 n# o+ @1 y                        方式二:
5 }$ r/ T! K2 n* N6 l! L                                HttpSession session =
& H. I. d4 T& o: o2 v                                request.getSession();
                                与request.getSession(true)等价。
- x3 o9 Y6 e0 S$ v5 i+ {                c,HttpSession接口提供的一些方法
* O7 [3 X' [& {                                //获得sessionId。
                                String session.getId();
                                //绑订数据
                                session.setAttribute(
/ G# J# h8 ~2 d6 J' Q& @# g; a( N                                String name,Object obj);
                                //obj最好实现Serializable接口(服务器
                                在对session进行持久化操作时，比如钝化
                                、激活，会使用序列化协议)。
: F5 B- O( Z. @5 ~7 H: {                                Object session.getAttribute(String name);
                                //如果name对应的值不存在，返回null。
+ I2 `) M, \  l                                session.removeAttribute(String name);
                d,session超时
                                服务器会将超过指定时间的session对象
" x3 P& R; k/ E! u                        删除(在指定的时间内，该session对象没有
/ U* i5 {; }4 n5 v4 n) ^7 s                        使用)。
                                方式一：
                                        session.setMaxInactiveInterval(
' d8 h9 P6 w/ g7 ^' G; X: x9 m                                int seconds);
                                方式二：
                                        服务器有一个缺省的超时限制，可以
' V" K. ~: V' L+ h$ C; H) ]6 A9 A2 i+ R                                通过相应的配置文件来重新设置。
) B0 o& V( I% x- q8 G                                        比如可以修改tomcat的web.xml(
                                        tomcat_home/conf下面)。
" x& T7 N" w, s1 r6 _* k                                        <session-config>
                        <session-timeout>30</session-timeout>
                            </session-config>
8 L, X+ h5 M6 C8 c6 Y0 K/ E( i7 U                                另外，也可以只修改某个应用的web.xml。
                e,删除session
5 u2 u, d/ M: f. O0 m                        session.invalidate();
& a/ a. J1 p6 V, E) ~% H* Y1 Q3 f                       
        案例:
9 W& X0 {  G$ ~                session验证
                step1 在登录成功之后，在session上绑订一些数据。
5 l; n! \4 J; K% z' V4 n        比如:
                session.setAttribute("user",user);
                step2 在访问需要保护的页面或者资源时，执行
" E# U  o5 V/ }6 ^  }! M                Object obj = session.getAttribute("user")；
) C- v" ~4 s6 d2 X* v! H% X  s  X                如果obj为null,说明没有登录，一般重定向到
! U. `: C2 {; N: }+ r$ C" J                登录页面。
1 }4 d- R9 _# A4 X$ V; f3 R
. }8 Y" `9 ^: ?5 r- r, i