首页 > 代码库 > 理解Cookie与Session

理解Cookie与Session

2024-07-08 10:02:58   239人阅读

  • HTTP本身是无状态的.
    • 这符合HTTP协议设计的目的.客户端只是简单地向服务器请求某种资源.两者都没有必须记录彼此过去的行为,每一次请求之间都是独立的.
    • 为了保存状态.在客户端使用Cookie,在Server端使用Session.
    • 同时,服务器端状态保存方案在客户端也需要保存一个标识.所以,Session可能需要借助Cookie来进行工作.
  • 理解Cookie机制
    • cookie的分发是通过扩展HTTP协议来实现的.服务器通过在HTTP的响应头中加上一行特殊的指示以提示浏览器生成对应的Cookie.
    • 纯粹的客户端脚本(JS,VS)也可以生成Cookie.
    • 而Cookie的使用是浏览器按照一定的原则在后台自动发送给Server的.
      • 浏览器检查其存储的所有Cookie.如果某个cookie所声明的范围大于等于将要请求的资源的位置,则把该Cookie附在请求资源的HTTP请求头上发送给Server.
    • Cookie的主要内容:名字,值,过期时间,路径和域.
      • 域可与指定为具体的某个域名(google.com).
      • 路径就是跟在域名后面的URL路径(/,/foo).
      • 域+路径构成了cookie的作用范围.
    • 存储
      • 会话cookie.如果没有设定过期时间,则cookie的生命周期为浏览器会话期间.
        • 只要关闭浏览器,cookie就消失了.
        • 一般存储在内存而非硬盘中.
        • 是否可共享跟具体的使用的浏览器有关.
        • 一般使用js中的window.open打开的窗口会与源窗口共享内存cookie.
      • 设置了过期时间的,会被存储在硬盘中.
        • cookie一直有效到超过过期时间.
        • 硬盘中的cookie可以在不同的浏览器进程之间共享(多个IE窗口).
  • 理解Session机制
    • 一种服务器端的机制.
      • 使用散列表(或类似的)形式来保存信息.
    • 服务器需要为客户端的请求生成Session时的处理
      • 首先,检查客户端的请求中是否包含一个SessionID.
        • 如果含有,就说明之前为该客户端创建过Session.然后按照该ID检索出对应的session.
        • 如果没有,则为该客户端生成一个session,并在本次请求响应中将sessionID返回给客户端保存.
      • 保存sessionID可以使用cookie.
        • 这样根据自动传递cookie的规则,浏览器会在下次请求时,自动地将sessionID传递给Server.
        • 由于cookie可以被人为禁止.可使用URL重写来完成SessionID的传递.
          • 就是把sessionID直接附在URL路径的后面.
          • 有两种附加方式.
            • 作为URL的附加信息.表现形式为.http://...XXX;jessionID=xxxxxxxx
            • 作为查询字符串.表现形式为http://....XXX?jessionID=xxxxx.
            • 两种形式在客户端无差异,只是Server端的解析方式不同.第一种有利于区分session和正常的请求.
          • 为了在整个请求过程中保持状态,需要在所有可能的请求路径上都加上sessionID.
        • 另一种技术是表单隐藏字段.
          • Server端自动修改表单,添加一个hidden域,name="jessionID",value=http://www.mamicode.com/sessionID.
          • 这样,客户端提交表单时,就能把sessionID提交到server.
    • session超时.
      • 除非程序通知Server删除一个Session,否则Server会一直保持Session.
      • 浏览器在关闭时,不会主动通知Server它将要关闭.因此服务器不会有机会知道浏览器已经关闭.
      • 只要关闭浏览器,Session就丢失了
        • 因为大部分的session机制都是用了会话cookie来保存sessionID.
        • 而关闭浏览器后,随着会话cookie的消失,这个sessionID也就消失了.
        • 再次连接Server时,也就无法找到原来的session.
        • 如果cookie被保存在硬盘中,或者改写了HTTP的请求头,能够把原来的sessionID发送给server,那么还是能够找到原来的Session.
      • 由于关闭浏览器不会导致删除session,所以server会为session设置一个失效时间.
        • 当距离客户端上次使用session的时间超过了该失效时间.服务器可以认为客户端已经停止了活动,从而删除session来节省存储空间.


联系
我们