学习目标#

1. 理解使用会话技术的原因
2. 理解客户端技术和服务器技术之间的区别
3. 掌握Cookie的设置（构造），熟悉Cookie的获取，能够通过浏览器查看Cookie信息
4. 理解Session维护的机制，能够分析Session的失效原因
5. 熟悉使用Session存储和获取信息
6. 掌握Cookie和Session的使用场景

前置知识准备#

• 响应头的设置
  • response.setHeader(String,String)
• Postman中设置请求头
  • Header
• URL编码
  • 浏览器能够完成编解码的工作
  • 比如我们发送一个Get请求（通过浏览器地址栏） 其中的请求参数有中文，这个中文浏览器会自动进行URL编码 → Servlet中使用request获得请求参数的值 ，这个值是中文，说明request已经帮我们解码了

Cookie的格式#

Cookie：key1=value1;key2=value2

携带的是键值对信息，携带的键值对信息都是字符串信息

可以携带多组键值对信息，如果携带多组，中间使用分号分隔开

构造Cookie信息#

这个过程是指，客户端（浏览器）在发起这个请求的时候，通过请求报文封装信息，请求报文中的请求头Cookie包含了对应的值

那么这里我们要构造Cookie信息，想办法让请求头Cookie里面包含对应的值

• 浏览器构造Cookie
• Postman构造Cookie
• 服务器构造Cookie

浏览器构造Cookie#

步骤

1. 打开开发者工具，快捷键F12
2. 找应用程序（Application）
3. 应用程序里找 存储（Storage）里的Cookie

请求报文：

1
GET http://localhost:8080/demo1/cookie/fetch HTTP/1.1
2
Host: localhost:8080
3
Connection: keep-alive
4
Cache-Control: max-age=0
5
sec-ch-ua: "Chromium";v="110", "Not A(Brand";v="24", "Microsoft Edge";v="110"
6
sec-ch-ua-mobile: ?0
7
sec-ch-ua-platform: "Windows"
8
Upgrade-Insecure-Requests: 1
9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36 Edg/110.0.1587.46
10
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
11
Sec-Fetch-Site: none
12
Sec-Fetch-Mode: navigate
13
Sec-Fetch-User: ?1
14
Sec-Fetch-Dest: document
15
Accept-Encoding: gzip, deflate, br
16
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
17
Cookie: zhangsan=123456; lisi=654321

展开收起

第17行里的值

Cookie: zhangsan=123456; lisi=654321

Postman构造Cookie#

也是构造Cookie这个请求头

请求报文

1
GET http://localhost:8080/demo1/cookie/fetch HTTP/1.1
2
Cookie: zhaoliu=123456;wangwu=789987
3
User-Agent: PostmanRuntime/7.29.2
4
Accept: */*
5
Host: localhost:8080
6
Accept-Encoding: gzip, deflate, br
7
Connection: keep-alive

第2行

Cookie: zhaoliu=123456;wangwu=789987

服务器构造Cookie#

客户端 → 服务器，请求

服务器 → 客户端，响应

客户端 → 服务器，请求

服务器能给客户端做的是响应

而我们希望的是客户端请求的时候携带Cookie

服务器提供特殊的响应报文，客户端获得这个特殊的请求报文之后，就会设置Cookie，在发送请求的时候就会携带Cookie了

特殊的响应报文，使用的是特殊的响应头，这个特殊的响应头set-cookie

1
/**
2
 * 发送请求
3
 * http://localhost:8080/demo1/cookie/set?username=lilei
4
 * @author stone
5
 * @date 2023/02/17 16:13
6
 */
7
@WebServlet("/cookie/set")
8
public class CookieSetServlet extends HttpServlet {
9

10
    @Override
11
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
12
        String username = req.getParameter("username");
13

14
        // 把这个通过响应报文给到浏览器，并且让浏览器发起请求的时候，通过Cookie来携带
15
        resp.setHeader("set-cookie","username=" + username);
16

17
    }
18
}

展开收起

来看一下这个请求的响应报文

1
HTTP/1.1 200
2
set-cookie: username=lilei
3
Content-Length: 0
4
Date: Fri, 17 Feb 2023 08:15:48 GMT
5
Keep-Alive: timeout=20
6
Connection: keep-alive

Response是针对于Cookie有提供特定的方法，能够让我们直接设置Cookie

resp.addCookie(new Cookie(“username”,username));

获取Cookie#

要获得的是Cookie这个请求头

String result = request.getHeader(“Cookie”);

去解析里面的键值对

实际上我们并没有这样做，Request中提供了直接获得Cookie的方法

Cookie[] cookies = request.getCookies();

单个Cookie，我们先获得其键值对信息

键：cookie.getName()

值：cookie.getValue()

1
@WebServlet("/cookie/fetch")
2
public class CookieServlet extends HttpServlet {
3

4
    @Override
5
    protected void doGet(HttpServletRequest request, HttpServletResponse resp) throws ServletException, IOException {
6
        Cookie[] cookies = request.getCookies();
7
        for (Cookie cookie : cookies) {
8
            String name = cookie.getName();
9
            String value = cookie.getValue();
10
            System.out.println(name + " -> " + value);
11
        }
12
    }
13
}

Cookie中的信息#

Cookie这个类的实例中封装信息

Path#

客户端发起的请求，是某个path的话，客户端在发起请求的时候才会携带这个cookie信息

cookie.setPath(String path)

如果没有手动setPath，cookie会给你设置一个默认的path，这个默认的path就是你当前这个请求的path

举个例子，比如http://localhost:8080/demo1/cookie/fetch,当前这个请求的path其实就是/demo1/cookie

验证一下，我们构造一个新的请求http://localhost:8080/demo1/cookie/path1

1
@WebServlet("/cookie/path1")
2
public class PathServlet1 extends HttpServlet {
3
    @Override
4
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
5
        resp.addCookie(new Cookie("username","zhangsan"));
6
    }
7
}

设置了path有什么用，访问该path对应的请求的时候才会获得（携带）该cookie

针对于上面的请求，也就是接下来要访问的url应该是这样的

http://localhost:8080/demo1/cookie/*

我们也可以自己指定path

1
@WebServlet("/cookie/path2")
2
public class PathServlet2 extends HttpServlet {
3
    @Override
4
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
5
        Cookie cookie = new Cookie("username", "zhangsan");
6
        cookie.setPath("/demo1");
7
        resp.addCookie(cookie);
8
    }
9
}

可以做到应用之间的数据共享

举个例子：比如在demo1中构造一个Cookie，在demo2中获得demo1中的Cookie的值不就是数据共享了么

http://localhost:8080/demo1/cookie/path3 设置Cookie的path为 /demo2或/，demo2中是可以获得这个cookie的

Domain#

设置域名或ip，用来说不同域名下Cookie共享

如果设置了Cookie的父域名，子域名下的请求可以共享父域名下的Cookie

发送请求到我这台服务器

1. ccc.com:8080/demo1/cookie/fetch
2. sub.ccc.com:8080/demo1/cookie/fetch
3. third.sub.ccc.com:8080/demo1/cookie/fetch
4. fourth.third.sub.ccc.com:8080/demo1/cookie/fetch

先来做domain的设置

1
// 需要访问的ccc.com:8080/domain
2
@WebServlet("/domain")
3
public class DomainServlet extends HttpServlet {
4

5
    @Override
6
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
7
        Cookie cookie = new Cookie("jd", "liuqiangdong");
8
        // 打算以ccc.com作为父域名
9
        // 后面发送请求 ccc.com:8080/demo1/cookie/fetch
10
        cookie.setDomain("ccc.com");
11

12
        resp.addCookie(cookie);
13
    }
14
}

注意：不能设置和当前域名无关的domain，比如访问localhost时候设置一个ccc.com这样的domain是不可以的，否则浏览器会直接无视

1
@WebServlet("/cookie/maxAge")
2
public class MaxAgeServlet extends HttpServlet {
3

4
    @Override
5
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
6
        Cookie cookie = new Cookie("expired-time", "aha");
7
        cookie.setMaxAge(5);//设置过期时间为5s，如果没有设置，则浏览器关闭时会被清楚
8
        resp.addCookie(cookie);
9
    }
10
}

1
@WebServlet("/cookie/remove")
2
public class CookieRemoveServlet extends HttpServlet {
3
    @Override
4
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
5
        Cookie cookie = new Cookie("username","");
6
        cookie.setMaxAge(0);//删除cookie：1.name为username；2.path为/demo1/cookie
7
        resp.addCookie(cookie);
8
    }
9
}

案例#

在访问一个请求的时候，输出上一次访问的时间

思路：

1. 访问该请求的时候，生成时间，放入到cookie中
2. 访问该请求的时候，从cookie中取出这个时间，并且使用response做响应

1
{
2

3
    private static final String LAST = "last";
4
    public static final String UTF_8 = "utf-8";
5

6
    @Override
7
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
8
        // cookie获取
9
        Cookie[] cookies = req.getCookies();
10
        if (cookies != null && cookies.length != 0) {
11
            for (Cookie cookie : cookies) {
12
                String name = cookie.getName();
13
                if (LAST.equals(name)) {
14
                    String value = cookie.getValue();
15
                    String decodeDate = URLDecoder.decode(value, UTF_8);
16
                    resp.getWriter().println(decodeDate);
17
                }
18
            }
19
        }
20
        // cookie设置
21
        Date date = new Date();
22
        // value不支持特殊字符和中文；但是可以将其装换为URL编码
23
        String format = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(date);
24
        String dateEncode = URLEncoder.encode(format, UTF_8);
25
        Cookie cookie = new Cookie(LAST, dateEncode);
26
        resp.addCookie(cookie);
27
    }
28
}

过程中使用URL编解码，原因是Cookie中不支持特殊字符和中文

小结#

1.优点：小巧、减轻了服务器压力、可以很轻松的实现多台主机、多个应用下的资源共享

2.缺点：存储容量有限制 4kb、数据类型有限制、只可以存储一些非敏感数据

浏览器（客户端）向服务器发起请求的时候，可以通过Cookie的方式来携带一些信息

提供Session#

Session不需要专门去提供，当我们获取Session的时候，其实就提供了Session给客户端

当我们在服务端获取Session的时候，其实会提供一个响应头set-cookie

1
HTTP/1.1 200
2
Set-Cookie: JSESSIONID=F1500D1D295B3953DCBBF89AD614F1E6; Path=/demo2; HttpOnly
3
Content-Length: 0
4
Date: Mon, 20 Feb 2023 06:55:17 GMT
5
Keep-Alive: timeout=20
6
Connection: keep-alive

JSESSIONID这样的一个key，其实就是保险柜的钥匙；我们下一次发起请求的时候，其实就会在Cookie中携带这个Cookie

第二次发起请求的请求头

1
GET http://localhost:8080/demo2/hello HTTP/1.1
2
Host: localhost:8080
3
Connection: keep-alive
4
Cache-Control: max-age=0
5
sec-ch-ua: "Chromium";v="110", "Not A(Brand";v="24", "Microsoft Edge";v="110"
6
sec-ch-ua-mobile: ?0
7
sec-ch-ua-platform: "Windows"
8
Upgrade-Insecure-Requests: 1
9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36 Edg/110.0.1587.46
10
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
11
Sec-Fetch-Site: none
12
Sec-Fetch-Mode: navigate
13
Sec-Fetch-User: ?1
14
Sec-Fetch-Dest: document
15
Accept-Encoding: gzip, deflate, br
16
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
17
Cookie: JSESSIONID=F1500D1D295B3953DCBBF89AD614F1E6

这个JSESSION这个Cookie的name对应的value就是Session对象的id，通过这个id对应的就是一个session对象

获取Session#

获得Session可以使用Request提供的getSession方法

getSession()

• 如果还没有创建Session，那么就创建一个Session；如果已经有了Session，那么就返回这个Session。当前这个客户端或用户第一个调用getSession方法的时候创建了Session

getSession(boolean create)

• 如果create的值为true则同上；
• 如果create的值为false，那么如果有了Session则返回Session对象，如果没有则返回null，就不会创建Session

实际上我们使用的无参方法更多一些

使用Session#

Session其实就像一个保险柜 → key-value形式的保险柜

key：String

value：Object

存：setAttribute(String,Object)

取：getAttribute(String)

1
@WebServlet("/session/set")
2
public class SessionSetServlet extends HttpServlet {
3

4
    @Override
5
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
6
        // 如果是第一次访问，那么做的事情就是创建并获取Session
7
        HttpSession session = req.getSession();
8
        session.setAttribute("mobile","18666778899");
9
        session.setAttribute("userid","65536");
10
    }
11
}

1
@WebServlet("/session/get")
2
public class SessionGetServlet extends HttpServlet {
3

4
    @Override
5
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
6
        // 如果是第一次访问，那么做的事情就是创建并获取Session
7
        HttpSession session = req.getSession();
8
        Object mobile = session.getAttribute("mobile");
9
        Object userid = session.getAttribute("userid");
10
        String result = userid + " : " + mobile;
11
        resp.getWriter().println(result);
12
    }
13
}

只要是同一个用户（客户端），即使是不同的Servlet，都是可以从Session中存取数据的；其中有一个关键点，如何识别为同一个用户，客户端发起请求携带的Cookie中的JSESSIONID对应的值相同

通常使用Session维护的是一些敏感数据，比如用户id或用户信息（user对象之类）

Session的生命周期#

对象生命周期：

对象的创建：request.getSession()

对象的销毁：关闭服务器、卸载应用

数据的生命周期

数据的产生：session域

数据的销毁：对象的销毁不会导致数据的销毁。数据的销毁只有 以下两种可能性：

1. session有效期到达（默认是30min）
2. 主动调用session.invalidate()方法-----用在注销的场景下。

常见问题#

Cookie和Session#

联系：Cookie和Session都是为了让服务端获取客户端提供的信息；提供的信息都是键值对形式的；Session技术是在Cookie技术的基础上进行的，都需要对请求头做处理

区别：

• 信息位置
  • Cookie是客户端技术，信息存储在客户端（浏览器），也意味着前端可以操作
  • Session是服务器技术，信息储存在服务器
• 敏感性
  • Cookie共享的是常规信息，直接抓包获取的是对应的值
  • Session通常共享的是敏感信息，直接抓包获取的是id
• 值类型
  • Cookie的值为String字符串
  • Session的值为Object
• 跨应用
  • Cookie信息可以跨应用共享
  • Session信息局限于当前应用

数据共享#

Request域：存在转发关系的Servlet之间的数据共享，比如Servlet和JSP数据共享

Context域：整个应用之中的数据共享，比如整个应用中的SqlSessionFactory、properties等

Session域：同一个用户（客户端）中的数据共享，比如登录之后的用户信息