您的位置: 首页  >  文章  >  深入分析 Session 和 Cookie

深入分析 Session 和 Cookie

分类: 文章 • 2024-04-06 17:39:32

点击上方“芋道源码”，选择“置顶公众号”

技术文章第一时间送达！

源码精品专栏

 

来源：http://t.cn/EvGZYz0

在Web发展史中，我们知道浏览器与服务器间采用的是http协议，而这种协议是无状态的，所以这就导致了服务器无法知道是谁在浏览网页，但很明显，一些网页需要知道用户的状态，例如登陆，购物车等。

所以为了解决这一问题，先后出现了四种技术，分别是隐藏表单域，URL重写，cookie，session。而用的最多也是比较重要的就是cookie和session了。

Cookie

首先来了解cookie

是什么

cookie是浏览器保存在用户电脑上的一小段文本，通俗的来讲就是当一个用户通过http访问到服务器时，服务器会将一些Key/Value键值对返回给客户端浏览器，并给这些数据加上一些限制条件，在条件符合时这个用户下次访问这个服务器时，数据通过请求头又被完整地给带回服务器，服务器根据这些信息来判断不同的用户。

也就是说，cookie是服务器传给客户端并保存在客户端的一段信息，这个Cookie是有大小，数量限制的！！

Cookie的创建

当前Cookie有两个版本，分别对应两种设置响应头：“Set-Cookie”和“Set-Cookie2”。在Servlet中并不支持Set-Cookie2，所以我们来看看Set-Cookie的属性项：

属性项 属性项介绍
NAME=VALUE 键值对，可以设置保存的Key/Value，这里NAME不能和其他属性项名字一样
Expires 过期时间，在这个时间点后Cookie失效
Domain 生成Cookie域名
Path 该Cookie是在当前那个路径下生成的
Secure 加密设置，设置他之后，只会在SSH连接时才会回传该Cookie

现在，我们先来了解这些属性项，其他的都说的很清楚了，我们来看看Domain有什么用：

现在，我们假设这里有两个域名：

域名A：a.b.f.com.cn 域名B：c.d.f.com.cn

显然，域名A和域名B都是f.com.cn的子域名

  • 如果我们在域名A中的Cookie的domain设置为f.com.cn，那么f.com.cn及其子域名都可以获取这个Cookie，即域名A和域名B都可以获取这个Cookie

  • 如果域名A和域名B同时设置Cookie的doamin为f.com.cn，那么将出现覆盖的现象

  • 如果域名A没有显式设置Cookie的domain方法，那么domain就为a.b.f.com.cn，不一样的是，这时，域名A的子域名将无法获取这个Cookie

综上所述，我们知道了domain的用处，聪明的小伙伴已经发现了，单点登陆就是用这个原理实现的。

好的，现在了解完了Set-Cookie的属性项，开始创建Cookie

Web服务器通过发送一个称为Set-Cookie的http消息来创建一个Cookie：

Set-Cookie: value; expires=date; path=path

这里我们思考一个问题，当我们在服务器创建多个Cookie时，这些Cookie最终是在一个Header项中还是以独立的Header存在的呢？


深入分析 Session 和 Cookie


int size = headers.size();
for(int i = 0;i < size;i++){
    outputBuffer.sendHeader(headers.getName(i),headers.getValue(i));
}
我们可以看到，构建http返回字节流时是将Header中所有的项顺序写出，而没有进行任何修改。所以可以想象在浏览器在接收http返回的数据时是分别解析每一个Header项。

++ 接着，在客户端进行保存，如何保存呢？这里又要对Cookie进行进一步的了解。 ++

Cookie的分类

会话级别Cookie：

所谓会话级别Cookie，就是在浏览器关闭之后Cookie就会失效。

持久级别Cookie：

保存在硬盘的Cookie，只要设置了过期时间就是硬盘级别Cookie。

好的，现在cookie保存在了客户端，当我们去请求一个URL时，浏览器会根据这个URL路径将符合条件的Cookie放在请求头中传给服务器。

Session

各位客官看到这里实属不易，?，但我们还是要想想，Cookie是有大小限制和数量限制的，并且越来越多的Cookie代表客户端和服务器的传输量增加，可不可以每次传的时候不传所有cookie值，而只传一个唯一ID，通过这个ID直接在服务器查找用户信息呢？答案是有的，这就是我们的session。

理解Session：

Session是基于Cookie来工作的，同一个客户端每次访问服务器时，只要当浏览器在第一次访问服务器时，服务器设置一个id并保存一些信息(例如登陆就保存用户信息，视具体情况)，并把这个id通过Cookie存到客户端，客户端每次和服务器交互时只传这个id，就可以实现维持浏览器和服务器的状态，而这个ID通常是NAME为JSESSIONID的一个Cookie。

Session和Cookie

实际上，有四种方式让Session正常工作

  1. 通过URL传递SessionID

  2. 通过Cookie传递SessionID

  3. 通过SSL传递SessionID

  4. 通过隐藏表单传递SessionID

第一种情况：

当浏览器不支持Cookie功能时，浏览器会将用户的SessionCookieName(默认为JSESSIONID)重写到用户请求的URL参数中。格式：/path/Servlet;name=value;name2=value2?Name3=value3

第三种情况：

会根据javax.servlet.request.ssl_session属性值设置SessionID。

注：如果客户端支持Cookie，又通过URL重写，Tomcat仍然会解析Cookie中的SessionID并覆盖URL中的SessionID

工作原理

我们先看session工作的时序图


深入分析 Session 和 Cookie


一、创建Session

当客户端访问到服务器，服务器会为这个客户端通过request.getSession()方法创建一个Session，如果当前SessionID还没有对应的HttpSession对象，就创建一个新的，并添加到org.apache.catalina.Manager的sessions容器中保存，这就做到了对状态的保持。当然，这个SessionID是唯一的

二、session保存

由图可知，session对象已经保存在了Manager类中，StandardManager作为实现类，通过requestedSessionId从StandardManager的sessions集合中取出StandardSession对象。

我们来看看StandardManager时如何对所有StandardSession对象进行生命周期管理

当Servlet容器关闭：

StandardManager将持久化没过期的StandardSession对象(必须调用Servlet容器中的stop和start命令，不能直接kill)

当Servlet容器重启时：

StandardManager初始化会重读这个文件，解析出所有session对象。

三、session的销毁

这里有一个误区，也是我之前的错误理解，就是我将session的生命周期理解成一次会话，浏览器打开就创建，浏览器关闭就销毁，这样理解是错的！！

session的声明周期是从创建到超时过期

也就是说，当session创建后，浏览器关闭，会话级别的Cookie被销毁，如果没有超过设定时间，该SessionID对应的session是没有被销毁的，

检查session失效

检查每个Session是否失效是在Tomcat的一个后台线程完成的(backgroundProcess()方法中)；除了后台进程检验session是否失效外，调用request.getSession()也会检查该session是否过期，当然，调用这种方法如果过期的话又会重新创建一个新的session。

做个总结

相同点和不同点

相同点(有关系的地方)

  • Session和Cookie都是为了让http协议又状态而存在

  • Session通过Cookie工作，Cookie传输的SessionID让Session知道这个客户端到底是谁

不同点

Session将信息保存到服务器，Cookie将信息保存在客户端

工作流程

当浏览器第一次访问服务器时，服务器创建Session并将SessionID通过Cookie带给浏览器保存在客户端，同时服务器根据业务逻辑保存相应的客户端信息保存在session中；客户端再访问时上传Cookie，服务器得到Cookie后获取里面的SessionID，来维持状态。


参考：alibaba丛书《深入分析Java Web》


如果你对 Dubbo / Netty 等等源码与原理感兴趣，欢迎加入我的知识星球一起交流。长按下方二维码噢：

深入分析 Session 和 Cookie

目前在知识星球更新了《Dubbo 源码解析》目录如下：

01. 调试环境搭建
02. 项目结构一览
03. 配置 Configuration
04. 核心流程一览

05. 拓展机制 SPI

06. 线程池

07. 服务暴露 Export

08. 服务引用 Refer

09. 注册中心 Registry

10. 动态编译 Compile

11. 动态代理 Proxy

12. 服务调用 Invoke

13. 调用特性 

14. 过滤器 Filter

15. NIO 服务器

16. P2P 服务器

17. HTTP 服务器

18. 序列化 Serialization

19. 集群容错 Cluster

20. 优雅停机

21. 日志适配

22. 状态检查

23. 监控中心 Monitor

24. 管理中心 Admin

25. 运维命令 QOS

26. 链路追踪 Tracing

... 一共 69+ 篇

目前在知识星球更新了《Netty 源码解析》目录如下：

01. 调试环境搭建
02. NIO 基础
03. Netty 简介
04. 启动 Bootstrap

05. 事件轮询 EventLoop

06. 通道管道 ChannelPipeline

07. 通道 Channel

08. 字节缓冲区 ByteBuf

09. 通道处理器 ChannelHandler

10. 编解码 Codec

11. 工具类 Util

... 一共 61+ 篇


目前在知识星球更新了《数据库实体设计》目录如下：


01. 商品模块
02. 交易模块
03. 营销模块
04. 公用模块

... 一共 17+ 篇

源码不易↓↓↓↓↓

点赞支持老艿艿↓↓

相关推荐