session原理
session也是一种记录浏览器状态的机制,但与cookie不同的是,session是保存在服务器中。
由于http是无状态协议,当服务器存储了多个用户的session数据时,如何确认http请求对应服务器上哪一条session,相当关键。这也是session原理的核心内容。
- 解决方法:服务器向客户端发送一条名为JESSIONID的cookie,它的值是session的id值。通过JESSIONID可以识别http请求对应哪一个用户。原理图如下所示:
session相关应用
与cookie共同使用
问题来源:session自动 维护的cookie的maxAge值为-1,这导致,浏览器关闭之后,存储JESSIONID的cookie会消失,服务器接收不到sessionid,session便会失效。
- 解决方法:与cookie共同使用。手动创建名为JESSIONID的cookie,通过session.getId()获取sessionid,存入cookie,并设置maxAge。
代码如下:
Cookie cookie = new Cookie("JSESSIONID",session.getId());
cookie.setMaxAge(30*60);
cookie.setPath("/"); // 必须是根路径
response.addCookie(cookie);
经过实践,这样做有效。重启浏览器后,session依然可用。
防止表单重复提交
业务场景(重复提交的危害):
- 在投票的网页上不停地提交,实现了刷票的效果;
- 注册多个用户,不断发帖子,扰乱正常发帖秩序。
解决方法:
- 在session中存储一个token,专业做法是使用随机数或者时间戳;
- 前端获取得到这个token,并将token写入表单的隐藏域中;
- 在第一次提交表单时,判断seesion有没有值,如果有就比对token。对比正确后处理请求,然后删除session中的数据;
- 再次访问的时,session是空的,即避免了重复提交;
一次性验证码
目的:防止暴力破解密码
实现方法:
- 初次访问时,服务端生成随机数,存入session域中,并生成验证码图片传给前端;
- 表单填写完毕后,post请求服务器;
- 后端读取参数中传递的验证码值,读取session域中的随机数值,验证两者是否相等。
session与cookie的区别
- 存储
- Cookie只能存储字符串,若要存储非ASCII字符,还需要对其编码;
- Session可以存储任何类型数据。
- 隐私
- Cookie内容对客户端可见;
- Session对客户端不可见。
- 有效期
- Cookie通过maxAge设置有效时间;
- Session通过maxInactiveInterval属性设置有效时间;除此之外,存储JESSIONID的cookie有效期与session息息相关。
- 对服务器的负担
- Session是保存在服务器的,每个用户都会产生一个Session,如果是并发访问的用户非常多,是不能使用Session的,Session会消耗大量的内存;
- Cookie是保存在客户端的。不占用服务器的资源。像baidu、Sina这样的大型网站,一般都是使用Cookie来进行会话跟踪。
- 浏览器的支持
- 浏览器有权选择是否禁用cookie;
- 若禁用cookie,session可以通过URL地址重写来进行会话跟踪。
- 跨域名上
- Cookie可以通过设置domain属性来实现跨域名;
- Session只在当前域名内有效。
本文和上一篇cookie博客主要来源与对以下技术博客的学习,当然不乏自己的思考、实践和提炼。