Cookie/Session

Cookie是什么：
Cookie是请求头域和响应头域的字段。简单地说，就是伴随请求和响应的一组键值对的文本。Cookie的生命来源于服务器。首先是客户端请求服务端，此时请求为第一次，无Cookie参数。这时候，服务端setCookie发送给客户端。记住，Cookie来源自服务端。

产生于服务端的Response，在响应头域：

Set-Cookie

Cookie的作用：
Cookie来源自服务端，用于服务端和客户端的会话。因为Http协议是无状态的，Cookie就是维持会话，说白了就是传递数据的额外媒介。

传输过程

读/写Cookie：

• 写Cookie：

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;
import org.springframework.web.bind.annotation.CookieValue;
import org.springframework.web.bind.annotation.RequestMapping;
//..

@RequestMapping("/hello.html")
public String hello(HttpServletResponse response) {
    Cookie foo = new Cookie("foo", "bar"); //bake cookie
    foo.setMaxAge(1000); //set expire time to 1000 sec
    response.addCookie(foo); //put cookie in response 
    //..        
}

//..

• 读Cookie，Spring3 MVC框架提供了一个非常有用的注释@CookieValue来访问数据的任何的HTTP cookie。

import org.springframework.web.bind.annotation.CookieValue;
import org.springframework.web.bind.annotation.RequestMapping;
//..
@RequestMapping("/hello.html")
public String hello() {
    @CookieValue("foo") String fooCookie
    @CookieValue(value = "foo2",required = false) String foo2Cookie
    //..
}

在上面的代码中，我们在Controller中定义了一个hello()方法，当spring 匹配到这个请求的时候，它会检查http cookie名字为foo的值，将它绑定到fooCookie。
required 这个boolean类型的，指明是否为必须，默认是true，所以请求里没有指定的cookie会报异常，或者也可以设置默认值，如下：

@CookieValue(value = "foo", defaultValue = "hello") String fooCookie

取出所有Cookie：

public String hello(HttpServletRequest req, HttpServletResponse resp) {
    // 获取Cookie
    Cookie[] cookies = req.getCookies();
    for (Cookie cookie : cookies)
        System.out.println(cookie.getName() + " " + cookie.getValue());
}

浏览器存储Cookie：
以Chrome为例，点击地址栏前符号，可查看Cookie

或者

点击上图中内容设置。

点击所有Cookie和网站数据，找到自己想要查看的网站，然后根据key值，查看cookie内容。

Session是什么：
Session代表着服务器和客户端一次会话的过程。直到session失效（服务端关闭），或者客户端关闭时结束。

Session的作用：
HTTP的无状态，也就是说，每次请求都是独立的线程。举个例子吧：购物中，你选择了A商品，加入购物车，这就是A线程。然后在选择B商品就是B线程。可是每次线程独立（对容器而言，A、B成了不同的用户），线程A不知道有B，B也不知道A。如何一起付款呢？简答来说：怎么保存同个用户多个请求会话状态呢？
Session 是存储在服务端的，并针对每个客户端（客户），通过SessionID来区别不同用户的。Session是以Cookie技术或URL重写实现。默认以Cookie技术实现，服务端会给这次会话创造一个JSESSIONID的Cookie值。

Paste_Image.png

读/写Session：

@RequestMapping("/hello.html")
public String hello(HttpSession httpSession) {
    if (session.isNew()) {
        // 设置session属性值
        session.setAttribute("name", "Jeff");
    }
    // 获取SessionId
    String sessionId = session.getId();
    // 从Session获取属性值
    session.getAttribute("name")
    //..     
    return "success";   
}

//..

我们不用手动把session通过cookie技术处理，容器帮我们处理了。

Set-Cookie：JSESSIONID= …

第二次请求，如下图：

session数据共享：
当有不止一台服务器的时候，不同服务器间的session数据共享就成问题了。比如，最初我只有一台服务器1，他的session里记录了user-1和user-2的数据。这个时候，我需要增加一台服务器2。当nginx把用户的请求转发到服务器2的时候，他就傻眼了：用户带了一个jsession_id=angOwberup这个的cookie过来，而在他的session管理器里却找不到这样一个session数据。
解决方案：

• session放入到cache集群或者数据库中，每次请求的时候，都从他们中来获取。这样，所有的机器都能获取到最新的session数据。
• 还有一种方式就是提供session服务（单点登录）。这个服务负责管理session，其他服务器每次从这个服务处获取session数据，从而达到数据的共享。如果仔细观察一下baidu或者google，你做登录的时候，他们可能会让你跳到passport.baidu.com 或者accounts.google.com这两个域名之下。这两个就是他们用来做用户登录和类似session管理的一个地方

关于这两点之后会单独另写。

---

要点：
Cookie来源自服务端，存储于客户端。第一次请求无Cookie参数，服务端setCookie发送给客户端。设置Cookie response.addCookie(foo)。取出所有Cookie Cookie[] cookies = req.getCookies()。

Session 是存储在服务端的，并针对每个客户端（客户），通过SessionID来区别不同用户的。服务端会给这次会话setCookie一个JSESSIONID的Cookie值。第二次请求时会用这个JSESSIONID去服务器上取值。

---

参考：
http://www.bysocket.com/?p=362
http://blog.csdn.net/zgwangbo/article/details/51636721