Session和Cookie

Cookie的简单介绍:

　　当你在访问一个网站的时候,Web服务器会发送一个小段的文本放在你的计算机上,当你下次再次光临同一个网站的时候,WEB服务器会先看看有没有它留下的Cookie资料,有的话,就会根据Cookie里的内容来判断使用者,然后可以将一个特定的网页内容发送给你.

　　具体来说cookie机制采用的是在客户端保持状态的方案,而session机制采用的是在服务器端保持的方案.

　　同时我们也看到.由于采用服务器端保持状态的方案,同样客户端也需要保存一个标识,所以session机制可能需要借助于cookie机制来达到保存标识的目的.但实际上它还有其他选择.

　　cookie机制

正统的cookie分发是通过拓展HTTP协议来实现的.服务器通过HTTP的响应头中加上一行特殊的指示以提示.浏览器按照指示生成相应的cookie,然而纯粹的客户端脚本如javascript或者VBScript也可以生成cookie,而cookie的使用由浏览器按照一定的原则在后台自动发送给服务器的.浏览器检查所有存储的cookie,如果某个cookie所声明的作用范围大于等于将要请求的资源所在的位置,则把cookie附在请求资源的HTTP请求头上发送给服务器.

　　cookie的内容主要包括:名字.值,过期时间.路径和域.路径和域一起构成cookie的作用范围,若不设置过期时间,则表示这个cookie的声明周期为浏览器会话期间,关闭浏览器窗口,cookie消失.这种生命期为浏览器会话期的cookie被称为会话cookie.

会话cookie一般不存在硬盘上而是保存在内存里.当然这种行为并不是规范规定的,若设置了过期时间,浏览器就会把coolie保存硬盘上,关闭后再次打开浏览器,这些cookie仍然有效直到超过设定的过期时间.存储在硬盘上的cookie可以在不同的浏览器进程间共享,比如两个IE窗口,而对于保存在内存里的cookie,不同的浏览器有不同的处理方式.

Session机制

　　session机制是一种服务器的机制,服务器使用一种类似于散列表的结构(hashTable)来保存信息.

当程序需要为某个客户端的请求创建一个session时,服务器首先检查这个客户端的请求里是否包含了一个session标识(sessioin id),如果已包含则说名以前已经为此客户端创建过session,服务器就按照session id把这个session检索出来使用(检索不到,就会创建一个),如果客户端请求不包含session id,则为此客户端创建一个session并且生成一个与此session相关联的session id ,session id的值应该是一个既不会重复,又不容易找到规律以仿造的字符串,这个session id 江北在本次响应中返回给客户端,保存这session id的方式可以采用cookie,这样在交互过程中浏览器可自动按照规则把这个标识发送给服务器.一般这个cookie的名字都是类似于sessioin id,但cookie可以被人为的禁止.则必须有其他机制以便在cookie被禁止时仍然能够把session id传回到服务器.

经常被使用的一种技术叫做URL重写，就是把session id直接附加在URL路径的后面。

还有一种技术叫做表单隐藏字段。就是服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时能够把session id传递回服务器。比如： 

<form name="testform" action="/xxx"> 
<input type="hidden" name="jsessionid" value="ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764"> 
<input type="text"> 
</form> 
实际上这种技术可以简单的用对action应用URL重写来代替。

cookie 和session 的区别：

1、cookie数据存放在客户的浏览器上，session数据放在服务器上。

2、cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗
   考虑到安全应当使用session。

3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能
   考虑到减轻服务器性能方面，应当使用COOKIE。

4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。

5、所以个人建议：
   将登陆信息等重要信息存放为SESSION
   其他信息如果需要保留，可以放在COOKIE中

这里简单的介绍一下session被用来共享的一些机制

1.服务器实现的 session 复制或 session 共享，如 webSphere或 JBOSS 在搭集群时配置实现 session 复制或 session 共享.致命缺点:不好扩展和移植。
2.利用成熟技术做session复制，如12306使用的gemfire，如常见内存数据库redis或memorycache，虽较普适但依赖第三方.
3.将 session维护在客户端，利用 cookie，但客户端存在风险数据不安全，且可以存放的数据量较小，所以将session 维护在客户端还要对 session 中的信息加密。
4.第二种方案和第三种方案的合体，可用gemfire实现 session 复制共享，还可将session 维护在 redis中实现 session 共享，同时可将 session 维护在客户端的cookie 中，但前提是数据要加密。
这三种方式可迅速切换，而不影响应用正常执行。在实践中，首选 gemfire 或者 redis 作为 session 共享的载体，一旦 session 不稳定出现问题的时候，可以紧急切换 cookie 维护 session 作为备用，不影响应用提供服务

总结:我自己要是实现session的时候,可以将session进行加密,然后再进行使用.

单点登录中，cookie 被禁用了怎么办？（一点登陆，子网站其他系统不用再登陆）
单点登录的原理是后端生成一个 session ID，设置到 cookie，后面所有请求浏览器都会带上cookie，然后服务端从cookie获取 session ID，查询到用户信息。
所以，保持登录的关键不是cookie，而是通过cookie 保存和传输的 session ID，本质是能获取用户信息的数据。
除了cookie，还常用 HTTP 请求头来传输。但这个请求头浏览器不会像cookie一样自动携带，需手工处理