Java EE之会话
1.需要会话的原因
所有HTTP服务器技术都普遍采用HTTP会话的概念，并且Java EE也在规范中添加了对会话的支持。
维持状态
会话用于维持请求和请求之间的状态。HTTP请求自身是完全无状态的。从服务器的角度来说，当用户的Web浏览器打开第一个连接到服务器的套接字时请求就开始了，直到服务器返回最后一个数据包并关闭连接时，该请求将结束。
在无状态方式下，应用程序通常无法正常工作。一个经典的例子就是在线购物网站。当你浏览商店时，找到了喜欢的商品，就会将它添加到购物车中。然后继续浏览商店并找到另一个喜欢的商品，同样也将它添加到购物车中。在查看购物车时，你应该看到其中有两个商品。在你发出的多个请求之间，网站通过某种方式了解到它们是来自于同一计算机中的同一浏览器，并将它们关联到你的购物车。其他人是无法看到你的购物车或购物车中包含的产品——购物车只绑定到你的计算机和浏览器。
记住用户
另一个需要考虑的场景是用户论坛网站。用户在登录之后，就可以添加论坛主题、回复主题、参与其他用户的私人讨论、向版主举报主题或回复、还可以收藏主题。注意在整个过程中用户只需要登录一次。系统需要通过某种方式记住该用户，会话就提供了这种功能。
2.使用会话cookie和URL重写
在Web会话的理论中，会话是由服务器或Web应用程序管理的某些文件、内存片段、对象或者容器，它包含了分配给它的各种不同数据。
通常会话被赋予一个随机生成的字符串，称为会话ID。第一次创建会话时（即收到请求时），创建的会话ID将会作为响应的一部分返回到用户浏览器中。接下来从该用户浏览器中发出的请求都将通过某种方式包含该会话ID。当应用程序收到含有会话ID的请求时，它可以通过该ID将现有会话与当前请求关联起来。
注意：使用随机字符串作为会话ID而不使用简单的序列ID，是因为序列ID是可预测的，这样可能会容易引起会话劫持。
2.1 会话cookie
HTTP 1.1的解决方案HTTP cookie，可用于将会话ID发送到浏览器，从而使浏览器可以在未来的请求中包含该会话ID。
cookie有各种不同的特性，例如域名、路径、过期日期或最大生命周期、安全标志或只含HTTP的标志。
- Domian特性告诉浏览器应该将cookie发送到哪个域名中。
- Path将cookie限制在相对于域名的某个特定URL中
- Expires定义了cookie的绝对过期日期。
- 如果存在Secure特性，浏览器将只会通过HTTPS发送cookie（这将保护cookie，避免以未加密的方式进行传输）。
在Java EE应用服务器中，会话cookie的名字默认为JSESSIONID。
2.2 URL中的会话ID
另一种传输会话ID的流行方式是通过URL。
不同的技术对如何在URL中内嵌和定位会话ID使用不同的策略。
Java EE应用程序将会话ID添加到URL的最后一个路径段的矩阵参数中。通过这种方式分离开会话ID与查询字符串的参数，使它们不会相互冲突。
http://www.example.com/support?JSESSIONID=NRxclGg2vG7kI4MdlLn?foo=bar&high=five
这种方式使浏览器意识不到会话ID的存在。相反，服务器将重写Location头中的URL以及任何响应内容中URL，使浏览器用于访问服务器的所有URL都已经内嵌了会话ID。
HttpServletResponse接口定义了两个可以重写URL的方法：encodeURL和encodeRedirectURL，它们将在必要的时候把会话ID内嵌在URL中。
3.在会话中存储数据
3.1 在部署描述符中配置会话
在许多情况下，都可以在Java EE中直接使用HTTP会话，不需要添加显式的配置。不过可以在部署描述符中配置它们，并且出于安全的目的也应该配置。
<session-config>
<session-timeout>30</session-timeout>
<cookie-config>
<name>JSESSIONID</name>
<domain>example.org</domain>
<path>/shop</path>
<comment><![CDATA[Keeps you logged in. See our privacy policy for more information.]]></comment>
<http-only>true</http-only>
<secure>false</secure>
<max-age>1800</max-age>
</cookie-config>
<tracking-mode>COOKIE</tracking-mode>
<tracking-mode>URL</tracking-mode>
<tracking-mode>SSL</tracking-mode>
</session-config>
标签<session-timeout>以分钟为单位，如果它的值小于等于0，那么会话将永远也不过期。如果忽略该标签，那么它将使用容器的默认值。Tomcat容器的默认值是30分钟，可以通过Tomcat配置修改。
Servlet 3.0/Java EE6中新增的标签<tracking-mode>用于表示容器应该使用哪种技术追踪会话ID。它的合法值有：URL、COOKIE和SSL。
只有在追踪模式中使用了COOKIE时，才可以使用<cookie-config>标签。
<cookie-config>标签的标签：
- 通过标签
<name>可以自定义会话cookie的名字。默认值为JSESSIONID。 - 标签
<domain>和<path>对应着cookie的Domain和Path特性。Web容器已经设置了正确的默认值，因此通常不需要自定义它们。 - 标签
<comment>将在会话ID cookie中添加Comment特性，用于解释cookie的目的。 - 标签
<http-only>和<secure>对应着cookie的HttpOnly特性和Secure特性，它们的默认值都是假。 - 标签
<max-age>指定了cookie的Max-Age特性，用于控制cookie何时过期。默认情况下，cookie没有过期日期，这意味着它将在浏览器关闭时过期，将它设置为-1的效果相同。
3.2 存储和获取数据
3.2.1 在Servlet中使用会话
private void addToCart(HttpServletRequest request,
HttpServletResponse response)
throws ServletException, IOException
{
int productId;
try
{
productId = Integer.parseInt(request.getParameter("productId"));
}
catch(Exception e)
{
response.sendRedirect("shop");
return;
}
HttpSession session = request.getSession();
if(session.getAttribute("cart") == null)
session.setAttribute("cart", new Hashtable<Integer, Integer>());
@SuppressWarnings("unchecked")
Map<Integer, Integer> cart =
(Map<Integer, Integer>)session.getAttribute("cart");
if(!cart.containsKey(productId))
cart.put(productId, 0);
cart.put(productId, cart.get(productId) + 1);
response.sendRedirect("shop?action=viewCart");
}
HttpServletRequest的getSession方法有两种方式：getSession()和getSession(boolean)。
对getSession()的调用实际将会调用getSession(true)，如果会话存在，就返回已有会话，不存在，就创建一个新的会话。
如果调用getSession(false)，那么如果会话存在就返回已有会话，否则返回null。
HttpSession的getAttribute方法将返回会话中存储的对象，setAttribute方法将把对象绑定到会话中。
3.2.2 在JSP中使用会话
viewCart.jsp
<%@ page import="java.util.Map" %>
<!DOCTYPE html>
<html>
<head>
<title>View Cart</title>
</head>
<body>
<h2>View Cart</h2>
<a href="<c:url value="/shop" />">Product List</a><br /><br />
<a href="<c:url value="/shop?action=emptyCart" />">Empty Cart</a><br /><br />
<%
@SuppressWarnings("unchecked")
Map<Integer, String> products =
(Map<Integer, String>)request.getAttribute("products");
@SuppressWarnings("unchecked")
Map<Integer, Integer> cart =
(Map<Integer, Integer>)session.getAttribute("cart");
if(cart == null || cart.size() == 0)
out.println("Your cart is empty.");
else
{
for(int id : cart.keySet())
{
out.println(products.get(id) + " (qty: " + cart.get(id) +
")<br />");
}
}
%>
</body>
</html>
该JSP使用隐式的session变量访问会话中存储的商店购物车Map，然后列出了购物车中所有的产品和它们的数量。
示例源码（在会话中存储和获取数据）链接：https://pan.baidu.com/s/1KYDagePVcW0SXzk9WK3Z1Q 密码：fz21
3.3 删除数据
private void emptyCart(HttpServletRequest request,
HttpServletResponse response)
throws ServletException, IOException
{
request.getSession().removeAttribute("cart");
response.sendRedirect("shop?action=viewCart");
}
也可以通过调用getAttribute方法获取Map，然后调用Map的clear方法清空数据。这里只是为了演示removeAttribute方法的使用。
3.4 在会话中存储更复杂的数据
理论上讲，会话可以存储希望存储的数据。
当然，也必须考虑希望存储数据的大小。如果在会话中添加了过多数据，那么有可能会导致虚拟机的内存耗尽。
示例源码（在会话中存储更复杂的数据）链接：https://pan.baidu.com/s/1cLQS-qLiYd9LSOiksMCDFA 密码：ed9f
4.使用会话
Java EE中会话最有用的特性之一就是会话事件。
使用监听器检测会话的变化。Servlet API中定义了几种监听器，大多数尽管不是全部，都将监听某种形式的会话活动。通过实现对应事件的监听器接口订阅某个事件，然后在部署描述符中添加<listener>配置，或者在该类中添加注解@javax.servlet.annotation.WebListener。
当某个事件发生时，将触发事件的发布，然后容器将调用对应事件监听器中的方法。
@WebListener
public class SessionListener implements HttpSessionListener, HttpSessionIdListener
{
private SimpleDateFormat formatter =
new SimpleDateFormat("EEE, d MMM yyyy HH:mm:ss");
@Override
public void sessionCreated(HttpSessionEvent e)
{
System.out.println(this.date() + ": Session " + e.getSession().getId() +
" created.");
SessionRegistry.addSession(e.getSession());
}
@Override
public void sessionDestroyed(HttpSessionEvent e)
{
System.out.println(this.date() + ": Session " + e.getSession().getId() +
" destroyed.");
SessionRegistry.removeSession(e.getSession());
}
@Override
public void sessionIdChanged(HttpSessionEvent e, String oldSessionId)
{
System.out.println(this.date() + ": Session ID " + oldSessionId +
" changed to " + e.getSession().getId());
SessionRegistry.updateSessionId(e.getSession(), oldSessionId);
}
private String date()
{
return this.formatter.format(new Date());
}
}
或者在部署描述符中配置
<listener>
<listener-class>com.wrox.SessionListener</listener-class>
</listener>
示例源码（使用会话）链接：https://pan.baidu.com/s/1r4Ojmj22MuXRA3EzIITdTA 密码：5ejb
