`

会话状态保持,JSESSIONID,COOKIE,URL重写

阅读更多

 

http://blog.csdn.net/collonn/archive/2010/06/28/5698906.aspx

今天说说:会话状态保持,JSESSIONID,COOKIE之间的关系

在服务器端,我们用惯了session.setAttribute("",userInfo)这样的一行代码,估计你很少想到:服务器与浏览器之间是如何保持会话状态的。好了,先引用一些文章的精彩片段:

http://www.xxx.com/xxx_app;jsessionid=xxxxxxxxxx?a=x&b=x。

这跟一般的url基本一样,只有一个地方有区别,那就是“;jessionid=xxxxxxxx”。这个参数有时候有,有时候又没有,说它是参数可又跟一般传递的参数不同,它是紧跟在url后面用分号来分隔的 ,用一般的request.getParameter()方法还取不到jsessionid 。

启动你的tomcat,打开FireFox(爱得不得了,一定要安装FireBug),输入localhost就行,打开firebug,点网络,你会看到,浏览器与服务器会话的信息,给出浏览器

(1)第一次请求服务器:

浏览器的请求头信息

Host localhost
User-Agent Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6
Accept text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language zh-cn,zh;q=0.5
Accept-Encoding gzip,deflate
Accept-Charset GB2312,utf-8;q=0.7,*;q=0.7
Keep-Alive 115
Connection

keep-alive

服务器响应头信息

Server Apache-Coyote/1.1
Set-Cookie JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB; Path=/
Content-Type text/html;charset=UTF-8
Content-Language zh-CN
Content-Length 242
Date Mon, 28 Jun 2010 02:35:29 GMT

(2)第二次请求服务器:

浏览器的请求头信息

Host localhost
User-Agent Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6
Accept text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language zh-cn,zh;q=0.5
Accept-Encoding gzip,deflate
Accept-Charset GB2312,utf-8;q=0.7,*;q=0.7
Keep-Alive 115
Connection keep-alive
Cookie JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB

服务器响应头信息

Server Apache-Coyote/1.1
Content-Type text/html;charset=UTF-8
Content-Language zh-CN
Content-Length 242
Date Mon, 28 Jun 2010 02:37:51 GMT

重复第三次,每四次...第N次请求服务器,浏览器和服务器的请求头信息都是与第二次请求服务器是一样的。


(3)但是,如果你在服务器端加入如下一行代码:

Log.info("SessionId:" + request.getSession().getId());

你会看到,当你第一次请求服务器时,就会默认有一个新的session被创建,而且在session的有效时间范围内,这个输出值是不会变的,否则,服务器会重新创建一个session,自然,sessionId也就不同了,这段代码的输出自然也会不同了。

(4)你必须注意这一点:你用的是浏览器与服务器通信:

有一些事情是浏览器帮助我们去做了,那就是:当你第一次与服务器通信时,浏览器会保存服务器返回的 Set-Cookie 这个健的值( JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB ),只要你不关闭浏览器(彻底关闭,关闭选项卡不算),浏览器会从第二次向服务器发出请求开始,一直带上这个键值对,发给服务器。服务器就会知道,这是同一个人(同一个会话)发起的请求。

(5)我们再注意一下:request.setAttribute("sysuser",userInfo)这句话:

当你第一次请求服务器时,这句代码会根据服务器默认产生的session得到ID,并与sysuser=userInfo这个键值对挂上钩(当然,userInfo可以是任何对象),保证唯一关联,检测用户是否登录就是这样实现的。

我一定要声明一点:保持一个会话与用户是否登录是没有任何关系的。

(6)再次引深一下,如果你用的不是浏览器,比如说做J2ME开发,怎样保持会话呢?

(1) 在你写完这行代码后:HttpConnection hc = (HttpConnection)Connector.open(httpURL),加入以下代码:( Constant.sessionID只是一个静态变量 )

 

·········10········20········30········40········50········60········70········80········90········100·······110·······120·······130·······140·······150
  1. //在与服务器通信前设置sessionId,维持唯一的一个会话  
  2. if (Constant.sessionID != null) {  
  3.    hc.setRequestProperty("Cookie", AppContext.CurrentAppContext.sessionID);  
  4. }  

 

(2) A:只向服务器读数据,不向服务写数据,B:先向服务器写数据,再从服务器读数据

对于这两种情况,只要你第一次打开openDataInputStream(),这可以加入以下代码( Constant.isLogin 只是一个静态变量boolean ):

 

·········10········20········30········40········50········60········70········80········90········100·······110·······120·······130·······140·······150
  1. //每次与服务器通信后,保存 sessionId  
  2. String cookie = hc.getHeaderField("Set-Cookie");  
  3. if (cookie != null) {  
  4.       String jsessionId = cookie.substring(0,cookie.indexOf(";"));  
  5.       if(Constant.sessionID != null && !Constant.sessionID.equals(jsessionId) && Constant.isLogin ){  
  6.           Log.info("sessionid超时, will get new sessionid, but you must login again");  
  7.           //设置为未登录状态  
  8.           Constant.isLogin = false;  
  9.       }  
  10.       Constant.sessionID = jsessionId;  
  11. }   

 

这样就可以保持一个会话了。


(7)最后,关于URL重定向

引用一段话:sun帮我们想到了,所以提供了2个方法来使事情变得简单:response.encodeURL()和response.encodeRedirectURL()。这2个方法会判断cookie是否可用,如果禁用了会解析出url中的jsessionid,并连接到指定的url后面,如果没有找到jessionid会自动帮我们生成一个。至于为什么要有2个方法?这2个方法有什么不同?google了一下,说是这2个方法在判断是否要包含jsessionid的逻辑上会稍有不同。在调用 HttpServletResponse.sendRedirect前,应该先调用encodeRedirectURL()方法,否则可能会丢失 Sesssion信息。这2个方法的使用方法如:response.sendRedirect(response.encodeURL("/myapp /input.jsp"));。如果cookie没有禁用,我们在浏览器地址栏中看到的地址是这样的:/myapp/input.jsp,如果禁用了 cookie,我们会看到:/myapp /input.jsp;jsessionid=73E6B2470C91A433A6698C7681FD44F4。所以,我们在写web应用的时候,为了保险起见,应该在程序里的每一个跳转url上都使用这2个方法,来保证session的可用性。

原文引自

(8)Fighting And Keep Moving!! 


 

分享到:
评论

相关推荐

    URL重写概念和例子

    当用户浏览器禁用了Cookie功能时,服务器会采用URL重写的方式进行会话跟踪。具体做法是在URL中加入会话ID作为路径参数,例如: ``` index.html;jsessionid=1234 ``` 这种方式虽然简单,但在安全性方面存在一定的...

    2. 20181218-会话管理1

    尽管隐藏域在单个表单提交过程中有用,但它们不能跨多个页面保持状态,因此在多页应用程序中并不适用。 接下来,Cookies是更常见和灵活的会话管理工具。Cookies允许服务器在用户的浏览器中存储数据,这些数据可以在...

    session和cookie详解

    **Session** 和 **Cookie** 是Web开发中用于保持客户端与服务器之间会话状态的重要技术。由于HTTP协议本身是无状态的,即服务器无法自动记录客户端的状态信息,因此需要通过Session和Cookie等技术手段来实现对用户...

    session的实现方式

    因此,但你刷新上一次的请求时,页面会输出一个名为 JSESSIONID 的 Cookie,后面就是相应的 Cookie 值,也就是本次“会话”的 SessionID,但你再次刷新此页面时会得到相同的输出,因为在一次“会话”中,请求信息...

    WebLogic_Cluster_HTTP会话复制失败的故障处理总结

    - **Cookie与URL重写检查**:确认Cookie设置正确,URL重写功能正常,不影响会话跟踪。 - **性能瓶颈分析**:评估系统性能,确保会话复制过程不受资源限制的影响。 #### 诊断实例解析 假设在包含两个服务器(My...

    给予servelet的会话跟踪的PPT

    **Servlet的会话跟踪技术详解** ...在Servlet应用中,会话跟踪是实现用户...通过理解并熟练运用Cookie、URL重写和隐藏表单字段等方法,以及Servlet API,开发者可以有效地管理用户会话,提高Web应用的功能性和用户体验。

    UrlFilter过滤jsessionId

    - 移除`jsessionId`可能会对依赖于URL重写的会话管理机制造成影响,需要确保应用的其他部分能够正常处理这种改变。 #### 四、应用场景 - **安全性增强:**防止通过URL泄露会话ID,降低会话劫持的风险。 - **用户...

    JavaWeb基础-Cookie和Session的简单使用案例

    每个Session都关联一个唯一的Session ID,这个ID通过Cookie或者URL重写等方式发送到客户端。客户端每次请求时,服务器根据Session ID找到对应的Session数据,实现用户会话的维护。在JavaWeb中,我们使用HttpSession...

    第12章 会话控制

    2. **URL重写**: 如果担心cookie被禁用或不安全,可以将会话ID附加到URL中。但这可能导致链接的可见性增加,对SEO不友好。 3. **隐藏表单字段**: 在HTML表单中添加一个隐藏字段来传递会话ID,适用于表单提交场景。 ...

    08-Session-Tracking-Chinese.pdf

    ### 会话跟踪技术详解 ...本文详细介绍了使用Cookie、URL重写和隐藏表单域三种常见的会话跟踪方法,并重点讨论了Java中实现会话跟踪的具体实现方式。开发者可以根据应用场景选择最适合的会话跟踪方案。

    session的生命周期1

    综上所述,`Session`是Web应用中维持用户状态的关键工具,依赖于`Cookie`进行标识,但在无`Cookie`环境下,通过URL重写也能保持其功能。了解`Session`的工作原理对于优化Web应用性能和用户体验至关重要。

    session编程(包括禁用cookie的情况)

    这些方法可以让多台服务器共享同一份Session数据,即使用户在不同服务器之间切换,也能保持会话状态的一致性。 总之,Session编程在Cookie被禁用的情况下,需要采取替代策略来传递和恢复Session ID。开发者需要理解...

    IE的cookie机制导致的session问题及解决办法.doc

    当用户访问网站时,服务器可以设置或读取Cookie中的信息,以便于维护用户会话状态或执行其他操作。 #### 1.2 Session的概念 Session是一种用于跟踪用户在Web应用程序上活动的技术。它允许服务器存储有关用户会话的...

    session与cookie.doc的区别

    4. **依赖性**:Session依赖于Cookie,如果客户端禁用Cookie,服务器可以通过URL重写技术传递SessionID,但这样会对URL产生污染,用户体验可能下降。 5. **安全性**:由于Session数据存储在服务器,相对Cookie来说...

    彻底解决android用HttpUrlConnection与web服务器之间session保持问题

    - **Cookie**:是一种客户端存储机制,服务器通过HTTP头将Cookie发送到客户端,客户端在后续请求中会自动将Cookie包含在请求头中,以此保持状态信息。Cookie可以设置有效期,但其数据保存在客户端,可能存在安全风险...

    session介绍

    在Web开发中,Session主要用来存储用户在会话期间的相关信息,如登录状态、购物车内容等,确保用户在页面跳转间仍能保持一定的状态。 2. **工作原理** - **创建**:当用户首次访问服务器时,服务器会为该用户创建...

    JavaWeb Session 会话管理实例详解

    另外,如果客户端禁用了Cookie,或者出于安全考虑不希望依赖Cookie,可以通过重写URL来跟踪会话。服务器会在URL后面附加Session ID,如 `http://localhost:8080/day07_2/CNCookieServlet;jsessionid=F8692D61CD46D...

    Java Web学习之Cookie和Session的深入理解

    "Java Web学习之Cookie和Session的深入理解...答案是不能,绝大多数的网站是这样,原因是没有使用URL重写机制来解决Cookie被禁用的问题。 * Cookie可以用来实现购物车功能吗?答案是可以,Session能做的Cookie也能做。

Global site tag (gtag.js) - Google Analytics