Cookie和Session

而我为你守着回忆

已于 2023-06-20 19:30:54 修改

阅读量99

点赞数

CC 4.0 BY-SA版权

文章标签：服务器 java

于 2023-06-18 23:22:57 首次发布

本文链接：https://blog.csdn.net/d456211/article/details/131276586

文章介绍了HTTP会话的概念以及两种主要的会话跟踪技术——Cookie和Session。Cookie存储在客户端，用于在多次请求间保持状态，但有长度和数量限制，且存在安全性问题。Session基于Cookie实现，数据存储在服务器端，更安全但可能造成服务器性能瓶颈。两者的主要区别在于数据存储位置和安全性考虑。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

会话：用户打开浏览器，访问浏览器资源，会话建立，直到一方断开连接，会话结束，一次会话中可以包含多次请求和响应。
会话跟踪技术：一种维护浏览器状态的方法，服务器需要识别多次请求是否来自同一浏览器，以便在同一次会话的多次请求间共享数据。
会话跟踪方案：

客户端会话跟踪技术：Cookie
服务端会话跟踪技术：Session
令牌技术

Cookie

流程如下：

存储在客户端浏览器，当浏览器第一次发起请求时，服务端设置一个Cooike响应给客户端，在Cooike中存储信息，服务端在给客户端响应数据时，会自动将Cooike响应给浏览器，浏览器在接受服务端响应的数据时，会自动将Cooike存储在本地，在接下来的每一请求中，都会自动将浏览器存储的Cooike自动的携带到服务端，服务端可以判断Cooike的值是否存在。

是一种HTTP协议中支持的技术

详情请访问：

https://cloud.tencent.com/developer/section/1189930

@RestController
public calss SessionController{

    //设置Cookie
    @GetMapping("/c1")
    public ResultVO cookie(HttpServletResponse response){
        response.addCookie(new Cookie("username","张三"));//设置Cookie / 响应Cookie
        return ResultVO.ok();
    }

    //获取Cookie
    @GetMapping("/c2")
    public ResultVO cookie2(HttpServletRequest request){
        Cookie[] cookies = request.getCookies(); //获取所有的Cookie
        for(Cookie cookie ： cookies){
            if(cookie.getName().equals("username")){
                System.out.print("username:"+cookie.getValue());
            }
        }
        return ResultVO.ok();
    }
}

请求c1，服务端设置的Cookie

请求c2时，客户端传递的Cookie

cookie 的优缺点

优点：极高的扩展性和可用性

1、通过良好的编程，控制保存在cookie和session中的对象的大小。

2、通过加密和传输技术（ssl）,减少cookie被破解的可能。

3、只在cookie中存放不敏感数据，即使被盗取也不会造成太大损失。

4、控制cookie的存放有效时间，偷盗者有可能拿到的是一个过期的数据。

缺点：

1、cookie的长度和数量的限制，同一个domain下只能存放20条，每条4kB,否则会被截掉。

2、安全性问题，如果cookie被截取，截取者就能获取session的信息，即使被加密也于事无补，因为截取者只需要原样发出cookie就能达到目的。

3、有些状态不可能保存在客户端。例如，为了防止重复提交表单，我们需要在服务器端保存一个计数器。如果我们把这个计数器保存在客户端，那么它起不到任何作用。

Session

session是基于Cookie实现的

流程如下：

用户输入其登录信息
服务器验证信息是否正确，并创建一个session，然后将其存储在数据库中
服务器为用户生成一个sessionId，将具有sesssionId的Cookie将放置在用户浏览器中
在后续请求中，会根据数据库验证sessionID，如果有效，则接受请求
一旦用户注销应用程序，会话将在客户端和服务器端都被销毁

//往HttpSession中存储值
@GetMapping("/s1")
public ResultVO session1(HttpSession session){
    log.info("HttpSession:{}",session.hashCode());
    
    session.setAttribute("username","lisi");//往session中存储数据
    return ResultVO.ok();

}

//从HttpSession中获取数据
@GetMapping("/s2")
public ResultVO session2(HttpServletRequest request){
    HttpSession session = request.getSession();
    log.info("s2的HttpSession:{}",session);

    Object user = session.getAttribute("username"); //从session中获取数据
    log.info("user:{}",user);
    return ResultVO.ok();
}

请求s1时，服务器设置的Session对象

请求s2时，浏览器传递Session的对象