今天说说:会话状态保持,JSESSIONID,COOKIE之间的关系
在服务器端,我们用惯了session.setAttribute("",userInfo)这样的一行代码,估计你很少想到:服务器与浏览器之间是如何保持会话状态的。好了,先引用一些文章的精彩片段:
http://www.xxx.com/xxx_app;jsessionid=xxxxxxxxxx?a=x&b=x。
这跟一般的url基本一样,只有一个地方有区别,那就是“;jessionid=xxxxxxxx”。这个参数有时候有,有时候又没有,说它是参数可又跟一般传递的参数不同,它是紧跟在url后面用分号来分隔的 ,用一般的request.getParameter()方法还取不到jsessionid 。
启动你的tomcat,打开FireFox(爱得不得了,一定要安装FireBug),输入localhost就行,打开firebug,点网络,你会看到,浏览器与服务器会话的信息,给出浏览器
(1)第一次请求服务器:
浏览器的请求头信息
Host |
localhost |
User-Agent |
Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6 |
Accept |
text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 |
Accept-Language |
zh-cn,zh;q=0.5 |
Accept-Encoding |
gzip,deflate |
Accept-Charset |
GB2312,utf-8;q=0.7,*;q=0.7 |
Keep-Alive |
115 |
Connection |
keep-alive
|
服务器响应头信息
Server |
Apache-Coyote/1.1 |
Set-Cookie |
JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB; Path=/ |
Content-Type |
text/html;charset=UTF-8 |
Content-Language |
zh-CN |
Content-Length |
242 |
Date |
Mon, 28 Jun 2010 02:35:29 GMT |
(2)第二次请求服务器:
浏览器的请求头信息
Host |
localhost |
User-Agent |
Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6 |
Accept |
text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 |
Accept-Language |
zh-cn,zh;q=0.5 |
Accept-Encoding |
gzip,deflate |
Accept-Charset |
GB2312,utf-8;q=0.7,*;q=0.7 |
Keep-Alive |
115 |
Connection |
keep-alive |
Cookie |
JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB |
服务器响应头信息
Server |
Apache-Coyote/1.1 |
Content-Type |
text/html;charset=UTF-8 |
Content-Language |
zh-CN |
Content-Length |
242 |
Date |
Mon, 28 Jun 2010 02:37:51 GMT |
重复第三次,每四次...第N次请求服务器,浏览器和服务器的请求头信息都是与第二次请求服务器是一样的。
(3)但是,如果你在服务器端加入如下一行代码:
Log.info("SessionId:" + request.getSession().getId());
你会看到,当你第一次请求服务器时,就会默认有一个新的session被创建,而且在session的有效时间范围内,这个输出值是不会变的,否则,服务器会重新创建一个session,自然,sessionId也就不同了,这段代码的输出自然也会不同了。
(4)你必须注意这一点:你用的是浏览器与服务器通信:
有一些事情是浏览器帮助我们去做了,那就是:当你第一次与服务器通信时,浏览器会保存服务器返回的 Set-Cookie 这个健的值( JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB
),只要你不关闭浏览器(彻底关闭,关闭选项卡不算),浏览器会从第二次向服务器发出请求开始,一直带上这个键值对,发给服务器。服务器就会知道,这是同一个人(同一个会话)发起的请求。
(5)我们再注意一下:request.setAttribute("sysuser",userInfo)这句话:
当你第一次请求服务器时,这句代码会根据服务器默认产生的session得到ID,并与sysuser=userInfo这个键值对挂上钩(当然,userInfo可以是任何对象),保证唯一关联,检测用户是否登录就是这样实现的。
我一定要声明一点:保持一个会话与用户是否登录是没有任何关系的。
(6)再次引深一下,如果你用的不是浏览器,比如说做J2ME开发,怎样保持会话呢?
(1) 在你写完这行代码后:HttpConnection hc = (HttpConnection)Connector.open(httpURL),加入以下代码:( Constant.sessionID只是一个静态变量 )
·········10········20········30········40········50········60········70········80········90········100·······110·······120·······130·······140·······150
-
- if (Constant.sessionID != null) {
- hc.setRequestProperty("Cookie", AppContext.CurrentAppContext.sessionID);
- }
(2) A:只向服务器读数据,不向服务写数据,B:先向服务器写数据,再从服务器读数据
对于这两种情况,只要你第一次打开openDataInputStream(),这可以加入以下代码( Constant.isLogin 只是一个静态变量boolean ):
·········10········20········30········40········50········60········70········80········90········100·······110·······120·······130·······140·······150
-
- String cookie = hc.getHeaderField("Set-Cookie");
- if (cookie != null) {
- String jsessionId = cookie.substring(0,cookie.indexOf(";"));
- if(Constant.sessionID != null && !Constant.sessionID.equals(jsessionId) && Constant.isLogin ){
- Log.info("sessionid超时, will get new sessionid, but you must login again");
-
- Constant.isLogin = false;
- }
- Constant.sessionID = jsessionId;
- }
这样就可以保持一个会话了。
(7)最后,关于URL重定向
引用一段话:sun帮我们想到了,所以提供了2个方法来使事情变得简单:response.encodeURL()和response.encodeRedirectURL()。这2个方法会判断cookie是否可用,如果禁用了会解析出url中的jsessionid,并连接到指定的url后面,如果没有找到jessionid会自动帮我们生成一个。至于为什么要有2个方法?这2个方法有什么不同?google了一下,说是这2个方法在判断是否要包含jsessionid的逻辑上会稍有不同。在调用 HttpServletResponse.sendRedirect前,应该先调用encodeRedirectURL()方法,否则可能会丢失 Sesssion信息。这2个方法的使用方法如:response.sendRedirect(response.encodeURL("/myapp /input.jsp"));。如果cookie没有禁用,我们在浏览器地址栏中看到的地址是这样的:/myapp/input.jsp,如果禁用了 cookie,我们会看到:/myapp /input.jsp;jsessionid=73E6B2470C91A433A6698C7681FD44F4。所以,我们在写web应用的时候,为了保险起见,应该在程序里的每一个跳转url上都使用这2个方法,来保证session的可用性。
原文引自
(8)Fighting And Keep Moving!!
相关推荐
当用户浏览器禁用了Cookie功能时,服务器会采用URL重写的方式进行会话跟踪。具体做法是在URL中加入会话ID作为路径参数,例如: ``` index.html;jsessionid=1234 ``` 这种方式虽然简单,但在安全性方面存在一定的...
尽管隐藏域在单个表单提交过程中有用,但它们不能跨多个页面保持状态,因此在多页应用程序中并不适用。 接下来,Cookies是更常见和灵活的会话管理工具。Cookies允许服务器在用户的浏览器中存储数据,这些数据可以在...
**Session** 和 **Cookie** 是Web开发中用于保持客户端与服务器之间会话状态的重要技术。由于HTTP协议本身是无状态的,即服务器无法自动记录客户端的状态信息,因此需要通过Session和Cookie等技术手段来实现对用户...
因此,但你刷新上一次的请求时,页面会输出一个名为 JSESSIONID 的 Cookie,后面就是相应的 Cookie 值,也就是本次“会话”的 SessionID,但你再次刷新此页面时会得到相同的输出,因为在一次“会话”中,请求信息...
- **Cookie与URL重写检查**:确认Cookie设置正确,URL重写功能正常,不影响会话跟踪。 - **性能瓶颈分析**:评估系统性能,确保会话复制过程不受资源限制的影响。 #### 诊断实例解析 假设在包含两个服务器(My...
**Servlet的会话跟踪技术详解** ...在Servlet应用中,会话跟踪是实现用户...通过理解并熟练运用Cookie、URL重写和隐藏表单字段等方法,以及Servlet API,开发者可以有效地管理用户会话,提高Web应用的功能性和用户体验。
- 移除`jsessionId`可能会对依赖于URL重写的会话管理机制造成影响,需要确保应用的其他部分能够正常处理这种改变。 #### 四、应用场景 - **安全性增强:**防止通过URL泄露会话ID,降低会话劫持的风险。 - **用户...
每个Session都关联一个唯一的Session ID,这个ID通过Cookie或者URL重写等方式发送到客户端。客户端每次请求时,服务器根据Session ID找到对应的Session数据,实现用户会话的维护。在JavaWeb中,我们使用HttpSession...
2. **URL重写**: 如果担心cookie被禁用或不安全,可以将会话ID附加到URL中。但这可能导致链接的可见性增加,对SEO不友好。 3. **隐藏表单字段**: 在HTML表单中添加一个隐藏字段来传递会话ID,适用于表单提交场景。 ...
### 会话跟踪技术详解 ...本文详细介绍了使用Cookie、URL重写和隐藏表单域三种常见的会话跟踪方法,并重点讨论了Java中实现会话跟踪的具体实现方式。开发者可以根据应用场景选择最适合的会话跟踪方案。
综上所述,`Session`是Web应用中维持用户状态的关键工具,依赖于`Cookie`进行标识,但在无`Cookie`环境下,通过URL重写也能保持其功能。了解`Session`的工作原理对于优化Web应用性能和用户体验至关重要。
这些方法可以让多台服务器共享同一份Session数据,即使用户在不同服务器之间切换,也能保持会话状态的一致性。 总之,Session编程在Cookie被禁用的情况下,需要采取替代策略来传递和恢复Session ID。开发者需要理解...
当用户访问网站时,服务器可以设置或读取Cookie中的信息,以便于维护用户会话状态或执行其他操作。 #### 1.2 Session的概念 Session是一种用于跟踪用户在Web应用程序上活动的技术。它允许服务器存储有关用户会话的...
4. **依赖性**:Session依赖于Cookie,如果客户端禁用Cookie,服务器可以通过URL重写技术传递SessionID,但这样会对URL产生污染,用户体验可能下降。 5. **安全性**:由于Session数据存储在服务器,相对Cookie来说...
- **Cookie**:是一种客户端存储机制,服务器通过HTTP头将Cookie发送到客户端,客户端在后续请求中会自动将Cookie包含在请求头中,以此保持状态信息。Cookie可以设置有效期,但其数据保存在客户端,可能存在安全风险...
在Web开发中,Session主要用来存储用户在会话期间的相关信息,如登录状态、购物车内容等,确保用户在页面跳转间仍能保持一定的状态。 2. **工作原理** - **创建**:当用户首次访问服务器时,服务器会为该用户创建...
另外,如果客户端禁用了Cookie,或者出于安全考虑不希望依赖Cookie,可以通过重写URL来跟踪会话。服务器会在URL后面附加Session ID,如 `http://localhost:8080/day07_2/CNCookieServlet;jsessionid=F8692D61CD46D...
"Java Web学习之Cookie和Session的深入理解...答案是不能,绝大多数的网站是这样,原因是没有使用URL重写机制来解决Cookie被禁用的问题。 * Cookie可以用来实现购物车功能吗?答案是可以,Session能做的Cookie也能做。