会话跟踪用来跟踪用户的整个会话，常用的是Session和Cookie。Cookie通过客户端记录信息确定用户身份，Session通过在服务器端记录信息确定用户身份。

1.Cookie 

1.1概念及使用方法

　　Cookie实际上是一小段文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来，当浏览器再请求该网站时，把请求的网址连同该Cookie一同交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

　　java中把Cookie封装成了javax.servlet.http.Cookie类。每个Cookie都是该Cookie类的对象。服务器通过操作Coolkie类对象对客户端Cookie进行操作。通过request.getCookie()获取客户端提交的所有Cookie（Cookie[]），通过response.addCookie(Cookie cookie)向客户端设置Cookie。

　　Cookie对象使用key-value属性对的形式保存用户状态，一个Cookie对象保存一个属性对，一个request或者response同时使用多个Cookie。因为Cookie类位于包javax.servlet.http.*下面，所以JSP中不需要import该类。

1.2不可跨域名性

　　根据域名的不同，网站只能操作自己的Cookie，这是由客户端浏览器决定的。

1.3Unicode编码：保存中文

　　使用时可以用如下语句生成Cookie  及从Cookie中取值

Cookie cookie = new Cookie(URLEncoder.encode("姓名","UTF-8"));

String cookieName=URLDecoder.decode(cokie.getName()),"UTF-8";

1.4BASE64编码：保存二进制图片

//in
byte binary;//输入流输入图片
String content = BASE64Encoder.class.newInstance().encode(binary);
Cookie cookie=new Cookie("file", content);

//out
byte[] binary=BASE64Decoder.class.newInstance().decodeBuffer(cookie.getValue(),.replace(" ",""));
response.getOutputStream().write(binary);

1.5Cookie的所有属性

 

1.6Cookie的有效期

 　　Cookie的maxAge决定着Cookie的有效期，单位为妙。Cookie中通过getMaxAge()方法与setMaxAge(int maxAge)方法来读写maxAge属性。

　　如果maxAge属性为正数，则表示该Cookie会在maxAge秒之后自动失效。浏览器会将其写到对应的Cookie文件中，下面的Cookie信息将永远有效。

cookie.setMaxAge(Integer.MAX_VALUE);

　　如果maxAge为负数，则表示该Cookie仅在本浏览器窗口以及本窗口打开的子窗口内有效，关闭窗口后该Cookie失效。不会被写入Cookie文件中。

1.7删除和修改

　　如果maxAge为0，则表示删除该Cookie。

　　response对象提供的Cookie操作方法只有一个添加操作add，要想修改Cookie只能使用一个同名的Cookie来覆盖原来的Cookie。

1.8Cookie的域名

　　同一一级域名下的二级域名不可交互使用Cookie，如果想二级域名下都可以使用该Cookie，需要设置Cookie的domain参数

1.9Cookie的路径

　　path属性决定允许访问Cookie的路径，path属性需要使用符号“/”结尾。

1.10JavaScript操作Cookie

　　document.cookie可以获得本页面所有的Cookie，各Cookie之间用分号";"隔开。获取Cookie可以用split函数切Cookie字符串。

　　设置Cookie可以直接赋值 document.cookie = name + "=" + emcodeURI(value);

 

2.Session

2.1概念及使用方法

　　客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以。对应的类为javax.servlet.http.HttpSession。每个来访者对应一个Session对象，所有该客户的状态信息都保存在这个Session对象里。在客户端第一次请求服务器时创建。

　　Servlet中必须使用request来编程式获取HttpSession对象，而JSP中内置了Session隐藏对象，可以直接使用。 request.getSession()方法获取Session，使用getAttribute(String key)和setAttribute(String key, Object value)方法来读写客户状态信息。

2.2Session的生命周期

　　Session保存在服务器内存中，每个用户都会有一个独立的Session，因此Session里的信息应该尽量精简。Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。服务器会把长时间没有活跃的Session从内存删除，Session就自动失效。Session的超时时间为maxInactiveInterval属性，可以通过getMaxInativeInterval()获取，通过setMaxInactiveInterval(long interval)修改。Session的超时时间也可以在web.xml文件中修改，另外通过invalidate()方法可以使Session失效。

2.3Session的常用方法

　　

2.4Session与浏览器

　　Http协议是无状态的，Session不能依据Http连接来判断是否是同一客户，因此服务器向客户端浏览器发送一个名为JSESSIONID的Cookie，它的值为该Session的id，Session依据该Cookie来识别是否为同一用户。该Cookie为服务器自动生成的，它的maxAge属性一般为-1。同一机器的两个浏览器会生成两个不同的Session，但是由浏览器窗口内的链接、脚本等打开新窗口除外。这类子窗口会共享父窗口的Cookie，因此会共享一个Session。

　　如果浏览器禁用Cookie或者不支持Cookie，就需要用到URL地址重写。

　　URL地址重写是对客户端不支持Cookie的解决方案。URL地址重写的原理是将该用户Session的id信息重写到URL地址中。服务器能够解析重写后的URL获取Session的ID。　　

 

3.Cookie与Session区别

　　Cookie只能保存ASCII字符串，如果需要存取Unicode字符或者二进制数据，需要进行UTF-8，GBK或者BASE64等方式编码。Cookie也不能直接存取Java对象。Session可以存取任何类型的数据。

　　Session不存在敏感信息泄露的危险，如果选用Cookie，敏感信息尽量不要写到Cookie中。

　　Cookie可以永久有效，Session不能实现。

　　并发浏览的用户非常多时，最好使用Cookie。

　　对于WAP应用， Session+URL地址重写。

　　Cookie通过设置domain属性，可以实现跨域名（二级域名），Session则不会支持跨域名。