cookie和session 有什么区别

汪星人

状态管理
        1)什么是状态管理
                将客户端(一般是浏览器)与服务器之间的多次
        交互当作一个整体来看待，即将多次操作所涉及的
        数据记录下来。
2 U, I! X' t. e& r        2)怎样进行状态管理
                第一种方式，在客户端管理用户的状态
                (cookie)。
, z) m8 v. I2 z; {1 P$ ^/ @                第二种方式，在服务器端管理用户的状态
, i1 N% P, @% W7 o6 j                (session)。
  \  H; o4 D- C* k+ }9 a( z        3)cookie
                a,什么是cookie?
% j" J9 Y! Z4 K3 O( V7 x                        浏览器在访问服务器时，服务器将一些数据
$ J7 M" V; P. f$ n1 m3 Y                以set-cookie消息头的形式发送给浏览器。浏览
) R% Z! V  v8 ~2 p                器会将这些数据保存起来。当浏览器再次访问
                服务器时，会将这些数据以cookie消息头的形式
                发送给服务器。通过这种方式，可以管理用户的
                状态。
                b,怎样创建cookie?
9 }, V0 i- W) S( l( X                        Cookie cookie = new Cookie(String name,
( w! S9 P' A6 ~: y) s6 o                        String value);
; t. q. ~& P' q2 D! H7 n& i2 Y                        response.addCookie(cookie);
" W4 M9 M  w- d                c,查询cookie
! {" S7 w  T9 z- k                        //如果没有cookie，则返回null。
                        Cookie[] cookies = request.getCookies();
                        String name = cookie.getName();
% p9 ]4 I. x) q                        String value = cookie.getValue();
5 R# b5 n# Q8 k" [                d,cookie保存时的编码问题
                        cookie的值只能是ascii字符，如果是中文，
                        需要将中文转换成ascii字符形式。
                        可以使用URLEncoder.encode()方法和
& T1 \' m! A# P3 b# h  Q# |  q+ f4 _                        URLDecoder.decode()方法来进行这种转换。
$ r" j" m4 W3 g! p: A                e,cookie的保存时间
                        cookie.setMaxAge(int seconds);
                        seconds > 0:浏览器会将cookie以文件的方式
% y5 z/ M  O9 i8 s' M& W/ z8 ]                        保存在硬盘上。在超过指定的时间以后，会删除
$ c% f7 S+ h3 U- Q: \                        该文件。
                        seconds < 0:默认值，浏览器会将cookie保存
                        在内存里面。只有当浏览器关闭之后，才会删除。
                        seconds = 0:删除。
                f,删除cookie
                        比如要删除一个name为"username"的cookie。
                        Cookie c = new Cookie("username","");
1 v, I9 p+ x$ ^: p' W4 Z. q                        c.setMaxAge(0);
                        response.addCookie(c);
( j" `5 v4 h, u+ A5 y                g,cookie的路径问题
3 c9 ?. g$ P1 P  P' U                        浏览器在向服务器上的某个地址发送请求时，
                会先比较cookie的路径与向访问的路径(地址)是
                否匹配。只有匹配的cookie，才会发送。
                        cookie的路径可以通过
                        cookie.setPath(String path)方法来设置。
                        如果没有设置,则有一个缺省的路径，缺省的
                        路径是生成该cookie的组件的路径。
                                比如: /appname/addCookie保存了一个cookie,
; A+ o+ D9 O8 D3 s0 Z* E, ]/ e! D                        则该cookie的路径就是/appname/addCookie。
                       
, Y! S# u1 L9 p6 H5 S8 h4 f                        规则:
5 W2 D- C( p* L% @2 a, V                                cookie的路径必须是要访问的路径的上层目录
                                或者是与要访问的路径相等，浏览器才会
9 v8 k( E! B& n8 M- e                                将cookie发送给服务器。
                               
                                一般可以设置setPath("/appname"),表示访问
# b) ^$ s' p: c' G. W                                该应用下的所有地址，均会发送cookie。
                h,cookie的限制
                        cookie可以禁止
( Z% A, T- n; Z/ ^5 W7 j' D                        cookie的大小有限制(4k左右)
6 s0 _6 {) V& J, l/ }- s                        cookie的数量也有限制(浏览器大约能保存300个)       
                        cookie的值只能是字符串，要考虑编码问题。
3 x. r' ^) F8 L" Q! r; M$ o, `                        cookie不安全
" v. g( t, @( A3 F        练习：
                写一个Add_FindCookieServlet,该servlet先查询
        有没有一个名叫name的cookie，如果有，则显示
        该cookie的值，如果没有，则创建该cookie(
        cookie的名字:name,cookie的值:zs)。
               
               
+ x) T( [8 n/ c0 {. J0 [) e        4)session       
                a,什么是session?
6 Y! }, k3 X* `( y0 E) y                浏览器访问服务器时，服务器会创建一个session
" v: p# Z0 {! T/ V1 m                对象(该对象有一个唯一的id, 一般称为sessionId)
) d5 E7 o0 W5 G$ S8 L                。服务器在缺省情况下，会将sessionId以cookie
8 ^; l1 K* y0 ], a                机制发送给浏览器。当浏览器再次访问服务器时，
& z  }. I: U9 c) ^/ ?# A. H                会将sessionId发送给服务器。服务器依据sessionId
4 S+ I; w: {& p- \) H                就可以找到对应的session对象。通过这种方式，
  f. D) B9 V$ \0 p8 A5 p$ ~1 [# ~                就可以管理用户的状态。
' y  n! Q/ p$ n& U% D: \7 i6 L8 x                b,如何获得session对象
% K3 s( D; y; W& z5 c                        方式一:
# ]. _; }& ]" B- g0 _4 ]                                HttpSession session =
                                request.getSession(boolean flag);
                                当flag = true:
                                        服务器会先查看请求中是否包含sessionId,
                                        如果没有，则创建一个session对象。
                                        如果有，则依据sessionId去查找对应的
                                        session对象，如果找到，则返回。
                                        如果找不到，则创建一个新的session对象。
2 L! A- D) M& E3 b) y- Z$ B1 y                                当flag = false:
, o1 I. q! }5 S8 o* \( a                                        服务器会先查看请求中是否包含sessionId,
7 A) r- f$ b. u9 r- K/ S                                        如果没有,返回null。
3 U5 C9 r$ G, h; y( |1 ^                                        如果有，则依据sessionId去查找对应的
8 b1 {: X% i: V$ d& ~. c5 \                                        session对象，如果找到，则返回。
                                        如果找不到，返回null。
                        方式二:
$ A: {/ Q- x" c4 c                                HttpSession session =
                                request.getSession();
% O' ]( Z$ F$ d" W, Z3 n9 H7 \4 c                                与request.getSession(true)等价。
                c,HttpSession接口提供的一些方法
+ C  w1 ~) o7 U" v. Q: p' u                                //获得sessionId。
                                String session.getId();
                                //绑订数据
                                session.setAttribute(
7 Z8 [. Q' ~. W4 P7 [3 O" w* C                                String name,Object obj);
                                //obj最好实现Serializable接口(服务器
, d, f9 X; {, N1 |7 G8 ~# }3 `                                在对session进行持久化操作时，比如钝化
                                、激活，会使用序列化协议)。
1 A5 _( K0 v% F9 Y, ?                                Object session.getAttribute(String name);
4 ?6 I9 I$ q  O+ o                                //如果name对应的值不存在，返回null。
# F9 c2 m' p1 i" g                                session.removeAttribute(String name);
                d,session超时
                                服务器会将超过指定时间的session对象
                        删除(在指定的时间内，该session对象没有
8 r. G6 \8 b6 u* a) w# V7 @5 A                        使用)。
( T6 K6 _1 m$ u2 o5 e                                方式一：
& z: U7 O' D) u) o) l                                        session.setMaxInactiveInterval(
8 C' b; u$ _1 z: q. q) I; O                                int seconds);
                                方式二：
) E% L2 M8 x  ^. `                                        服务器有一个缺省的超时限制，可以
                                通过相应的配置文件来重新设置。
                                        比如可以修改tomcat的web.xml(
                                        tomcat_home/conf下面)。
                                        <session-config>
                        <session-timeout>30</session-timeout>
3 o& [' u- s4 t4 V) J) B                            </session-config>
8 K6 g8 A8 J' i" _5 Y- e                                另外，也可以只修改某个应用的web.xml。
                e,删除session
                        session.invalidate();
0 \& V% U" \* @+ v6 P                       
0 Q/ e' {1 `' ~/ \8 d" i" ?        案例:
                session验证
1 a  B2 ?/ w0 L) K0 o- L                step1 在登录成功之后，在session上绑订一些数据。
1 S3 i! z  ]/ h8 A5 x5 z  U: E2 ~        比如:
                session.setAttribute("user",user);
2 T6 }& Z9 P+ n& y& _+ s                step2 在访问需要保护的页面或者资源时，执行
$ }( m2 a5 D3 B- G                Object obj = session.getAttribute("user")；
                如果obj为null,说明没有登录，一般重定向到
                登录页面。
5 W2 W) @; W8 H4 r9 ?0 w2 l
# O3 d6 W; Q, P+ e7 c8 o' K: \" `