JavaWeb:Cookie处理和Session跟踪

Cookie处理

什么是Cookie

　　Cookie 是存储在客户端计算机上的文本文件，保留了各种跟踪信息。因为HTTP协议是无状态的，即服务器不知道用户上一次做了什么，这严重阻碍了交互式Web应用程序的实现。

　　在典型的网上购物场景中，用户浏览了几个页面，买了一盒饼干和两瓶饮料。最后结帐时，由于HTTP的无状态性，不通过额外的手段，服务器并不知道用户到底买了什么，所以Cookie就是用来绕开HTTP的无状态性的“额外手段”之一。服务器可以设置或读取Cookies中包含信息，借此维护用户跟服务器会话中的状态。它之所以可以实现这样的功能是Cookie会被附加在每个HTTP请求中，这样服务器当然就可以获取到客户的跟踪信息。

　　如下图是Mac系统中Safari浏览器的Cookies文件夹。

　　Chrome浏览器可以实时显示当前网页调用的Cookie，其中第一栏为名称，第二栏为值，其他的我们会在后面说明。

　　当然这些值都已经被加密过了，我们无法直接理解，由于cookie会随着网络请求发送到服务器，所以服务器可以调用相关的解密函数来获取cookie的内容。

　　本篇文章将向您讲解如何设置或重置 Cookie，如何访问它们，以及如何将它们删除。

Servlet Cookie 处理需要对中文进行编码与解码，方法如下：

String   str   =   java.net.URLEncoder.encode("中文"，"UTF-8");            //编码

String   str   =   java.net.URLDecoder.decode("编码后的字符串","UTF-8");   // 解码

设置Cookie

　Cookie 通常设置在 HTTP 头信息中。设置 Cookie 的 Servlet 会发送如下的头信息：

HTTP/1.1 200 OK

Date: Fri, 04 Feb 2000 21:03:38 GMT

Server: Apache/1.3.9 (UNIX) PHP/4.0b3

Set-Cookie: name=xyz; expires=Friday, 04-Feb-07 22:03:38 GMT;

                 path=/; domain=runoob.com

Connection: close

Content-Type: text/html

　　正如您所看到的，Set-Cookie 头包含了一个名称值对、一个 GMT 日期、一个路径和一个域。名称和值会被 URL 编码。

expires 字段是一个指令，告诉浏览器在给定的时间和日期之后"忘记"该 Cookie
domain，可以访问该Cookie的域名。如果设置为“.google.com”，则所有以“google.com”结尾的域名都可以访问该Cookie。注意第一个字符必须为“.”。
path，Cookie的使用路径。如果设置为“/sessionWeb/”，则只有contextPath为“/sessionWeb”的程序可以访问该Cookie。如果设置为“/”，则本域名下contextPath都可以访问该Cookie。注意最后一个字符必须为“/”。

　　如果浏览器被配置为存储 Cookie，它将会保留此信息直到到期日期。如果用户的浏览器指向任何匹配该 Cookie 的路径和域的页面，它会重新发送 Cookie 到服务器。浏览器的头信息可能如下所示：

GET / HTTP/1.0

Connection: Keep-Alive

User-Agent: Mozilla/4.6 (X11; I; Linux 2.2.6-15apmac ppc)

Host: zink.demon.co.uk:1126

Accept: image/gif, */*

Accept-Encoding: gzip

Accept-Language: en

Accept-Charset: iso-8859-1,*,utf-8

Cookie: name=xyz

　　Servlet 就能够通过请求方法 request.getCookies() 访问 Cookie，该方法将返回一个 Cookie 对象的数组。

Servlet Cookie 方法

　　以下是在 Servlet 中操作 Cookie 时可使用的有用的方法列表。

实例

// 为名字和姓氏创建 Cookie

Cookie name = new Cookie("name", URLEncoder.encode(request.getParameter("name"), "UTF-8")); // 中文转码

Cookie url = new Cookie("url",request.getParameter("url"));

// 为两个 Cookie 设置过期日期为 24 小时后

name.setMaxAge(60*60*24);

url.setMaxAge(60*60*24); 

// 在响应头中添加两个 Cookie

response.addCookie( name );

response.addCookie( url );

 // 设置响应内容类型

response.setContentType("text/html;charset=UTF-8");

//cookie.setMaxAge(0); 过期时间为0，则立即失效

会话跟踪

引入Session

　　HTTP 是一种"无状态"协议，这意味着每次客户端检索网页时，客户端打开一个单独的连接到 Web 服务器，服务器会自动不保留之前客户端请求的任何记录。但是仍然有以下三种方式来维持 Web 客户端和 Web 服务器之间的 session 会话。

Cookies

　　一个 Web 服务器可以分配一个唯一的 session 会话 ID 作为每个 Web 客户端的 cookie，对于客户端的后续请求可以使用接收到的 cookie 来识别。这可能不是一个有效的方法，因为很多浏览器不支持 cookie，所以我们建议不要使用这种方式来维持 session 会话。

隐藏的表单字段

　　一个 Web 服务器可以发送一个隐藏的 HTML 表单字段，以及一个唯一的 session 会话 ID，如下所示：

<input type="hidden" name="sessionid" value="12345">

　　该条目意味着，当表单被提交时，指定的名称和值会被自动包含在 GET 或 POST 数据中。每次当 Web 浏览器发送回请求时，session_id 值可以用于保持不同的 Web 浏览器的跟踪。

这可能是一种保持 session 会话跟踪的有效方式，但是点击常规的超文本链接（<A HREF...>）不会导致表单提交，因此隐藏的表单字段也不支持常规的 session 会话跟踪。

URL重写　　

　　您可以在每个 URL 末尾追加一些额外的数据来标识 session 会话，服务器会把该 session 会话标识符与已存储的有关 session 会话的数据相关联。

　　例如，http://w3cschool.cc/file.htm;sessionid=12345，session 会话标识符被附加为 sessionid=12345，标识符可被 Web 服务器访问以识别客户端。

　　URL 重写是一种更好的维持 session 会话的方式，它在浏览器不支持 cookie 时能够很好地工作，但是它的缺点是会动态生成每个 URL 来为页面分配一个 session 会话 ID，即使是在很简单的静态 HTML 页面中也会如此。

HttpSession对象

　　除了上述的三种方式，Servlet 还提供了 HttpSession 接口，该接口提供了一种跨多个页面请求或访问网站时识别用户以及存储有关用户信息的方式。

Servlet 容器使用这个接口来创建一个 HTTP 客户端和 HTTP 服务器之间的 session 会话。会话持续一个指定的时间段，跨多个连接或页面请求。

您会通过调用 HttpServletRequest 的公共方法 getSession() 来获取 HttpSession 对象。

常用方法