JavaWeb之session应用

session和cookie都是用来存储信息的，区别是session是在服务器端存储信息，而cookie则是在浏览器端存储信息。

通常服务器端存储session,服务器端存储和获取session,一般情况下是比较安全的，不排除黑客侵袭的情况下。不过cookie的话，容易因为cookie欺骗而导致安全性问题。

当然了，现在因为token的流行和应用广泛，使用cookie也不怕安全性问题。

将用户信息存储到session中可以参考如下代码:

@PostMapping(value = "/login",produces="application/json;charset=utf-8")
    @SysLog(type="后台系统",action="登录功能",method="POST")
    @ApiOperation(value="登录",httpMethod="POST",notes="若登录后token未过期则返回原token,并按照预先定义的有效时间顺延，若过期则生成新token,有效期默认10小时")
    public JSONObject getLockPwd(@RequestParam String username, @RequestParam String password, HttpSession session,HttpServletResponse response) {
        //接收前台参数
        logger.info("用户名:"+username);
        logger.info("密码:"+password);
        //调用查询逻辑
        EntityWrapper<SysUser> wrapper = new EntityWrapper<SysUser>();
        wrapper.eq("login_code", username);
        SysUser user = userService.selectOne(wrapper);

        JSONObject json = new JSONObject();

        if(user != null && "0".equals(user.getStatus())) {
            //获取当前用户
            Subject subject = SecurityUtils.getSubject();  

            //根据前台传的用户名和密码进行认证
            UsernamePasswordToken token = new UsernamePasswordToken(username, password);         

            try {
                //认证通过
                subject.login(token); 

                String encode = Base64.encode(user.getUserCode());

                //Cookie有效期默认为8小时
                int time=28800;

                //将Cookie加密为16进制字符串
                CookieUtils.setCookie(response,  "userCode", encode, time);

                user.setLastLoginDate(DateUtil.date());
                userService.updateById(user);

                //将userCode放入session中保存
                session.setAttribute("userCode", user.getUserCode());

                json.put("token", subject.getSession().getId());
                json.put(CommonEnum.RETURN_CODE, "000000");
                json.put(CommonEnum.RETURN_MSG, "登录成功");
            } catch (IncorrectCredentialsException e) {
                json.put(CommonEnum.RETURN_CODE, "111111");
                json.put(CommonEnum.RETURN_MSG, "用户名或密码错误");
            }catch (Exception e) {
                json.put(CommonEnum.RETURN_CODE, "222222");
                json.put(CommonEnum.RETURN_MSG, "特殊异常");
            }
        }else {
            json.put(CommonEnum.RETURN_CODE, "500");
            json.put(CommonEnum.RETURN_MSG, "用户不存在");
        }    

        return json;

    }
    

关键就是session.setAttribute("userCode", user.getUserCode())这段代码

关于Cookie加密或者是用Cookie存储信息和清除Cookie，可以参考我的这篇文章:js之清除Cookie

如果获取session,参考如下代码:

        HttpServletRequest request = ((ServletRequestAttributes)RequestContextHolder.getRequestAttributes()).getRequest();

        //获取session
        String userCode = (String) request.getSession().getAttribute("userCode");