Java基础（19）Cookie和Session

在Web开发中，Cookie和Session是用来保持客户端和服务器之间状态的两种机制。它们有不同的工作方式及应用场景。

Cookie

Cookie是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再次发起请求时被发送回服务器。Cookie常用于识别用户。

特点

客户端存储：存储在客户端（浏览器）。
大小限制：每个站点约4KB。
数量限制：每个域名下的Cookie数量有限。
包含在每个请求中：每次请求都会携带Cookie，可能会影响性能。
有过期时间：可以设置过期时间来决定Cookie何时被删除。

示例代码

在Java的Servlet中设置和读取Cookie：

// 在Servlet中设置Cookie
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {// 创建一个CookieCookie cookie = new Cookie("user", "JohnDoe");cookie.setMaxAge(60*60*24); // 设置过期时间为一天response.addCookie(cookie); // 将Cookie加入响应中// ...
}// 在Servlet中读取Cookie
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {Cookie[] cookies = request.getCookies(); // 获取请求中的所有Cookieif (cookies != null) {for (Cookie cookie : cookies) {if ("user".equals(cookie.getName())) {// 如果找到名为"user"的Cookie，处理它String userName = cookie.getValue();// ...}}}// ...
}

Session

Session提供一种在服务器上跨多个请求或访问者会话保持状态的方式。它利用服务器内存来存储用户状态。

特点

服务器端存储：存储在服务器端，安全性较高。
大小限制：一般没有限制，依赖于服务器的内存。
不跟随每个请求：Session ID会被存储在Cookie中，并随请求发送，但Session数据不会。
有过期机制：通常Session会在一段时间不活动后过期。
支持任意Java对象：与Cookie只支持String不同，Session可以存储任何类型。

示例代码

在Java的Servlet中使用Session：

// 在Servlet中创建和使用Session
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {// 获取当前请求的Session，如果没有则创建一个HttpSession session = request.getSession();// 在Session中存储信息session.setAttribute("user", "JohnDoe");// 设置Session超时时间session.setMaxInactiveInterval(2*60*60); // 2小时// ...
}// 在Servlet中读取Session信息
protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {HttpSession session = request.getSession(false); // 如果当前没有Session则不创建新的Sessionif (session != null) {String userName = (String) session.getAttribute("user");if (userName != null) {// 处理userName// ...}}// ...
}

深入细节

安全性：
- Cookie存储在客户端，可能会被用户或者第三方读取，因此敏感信息不应该保存在Cookie中。
- Session存储在服务器端，相对更安全，但需要防范会话劫持攻击。
生命周期：
- Cookie的生命周期可以由服务器或者客户端控制，可以持久化存储。
- Session的生命周期通常由服务器控制，用户关闭浏览器或Session超时都会结束。
资源消耗：
- Cookie发送到服务器会增加请求大小。
- Session虽然不随请求发送，但会占用服务器内存资源。
扩展性和可维护性：
- 如果Web应用需要在多个服务器之间共享状态，使用Session需要额外的机制来进行状态同步，如分布式缓存或数据库。
- Cookie由于是客户端解决方案，不受服务器架构影响。