針對(duì)會(huì)話機(jī)制，本文分別對(duì)Cookie與Session做一個(gè)介紹和總結(jié)蜘犁，并分別對(duì)兩個(gè)知識(shí)點(diǎn)進(jìn)行對(duì)比分析姚炕。

Cookie機(jī)制

Cookies是服務(wù)器在本地機(jī)器上存儲(chǔ)的小段文本并隨每一個(gè)請(qǐng)求發(fā)送至同一個(gè)服務(wù)器征唬。IETF RFC 2965 HTTP State Management Mechanism 是通用cookie規(guī)范。網(wǎng)絡(luò)服務(wù)器用HTTP頭向客戶端發(fā)送cookies吠式，在客戶終端陡厘，瀏覽器解析這些cookies并將它們保存為一個(gè)本地文件，它會(huì)自動(dòng)將同一服務(wù)器的任何請(qǐng)求縛上這些cookies 特占。

正統(tǒng)的cookie分發(fā)是通過擴(kuò)展HTTP協(xié)議來實(shí)現(xiàn)的糙置，服務(wù)器通過在HTTP的響應(yīng)頭中加上一行特殊的指示以提示瀏覽器按照指示生成相應(yīng)的cookie。然而純粹的客戶端腳本如JavaScript也可以生成cookie是目。而cookie的使用是由瀏覽器按照一定的原則在后臺(tái)自動(dòng)發(fā)送給服務(wù)器的谤饭。瀏覽器檢查所有存儲(chǔ)的cookie，如果某個(gè)cookie所聲明的作用范圍大于等于將要請(qǐng)求的資源所在的位置懊纳，則把該cookie附在請(qǐng)求資源的HTTP請(qǐng)求頭上發(fā)送給服務(wù)器揉抵。

cookie的內(nèi)容主要包括：名字，值嗤疯，過期時(shí)間冤今，路徑和域。路徑與域一起構(gòu)成cookie的作用范圍茂缚。若不設(shè)置過期時(shí)間戏罢，則表示這個(gè)cookie的生命期為瀏覽器會(huì)話期間，關(guān)閉瀏覽器窗口脚囊，cookie就消失龟糕。這種生命期為瀏覽器會(huì)話期的cookie被稱為會(huì)話cookie。會(huì)話cookie一般不存儲(chǔ)在硬盤上而是保存在內(nèi)存里悔耘，當(dāng)然這種行為并不是規(guī)范規(guī)定的讲岁。若設(shè)置了過期時(shí)間，瀏覽器就會(huì)把cookie保存到硬盤上，關(guān)閉后再次打開瀏覽器催首，這些cookie仍然有效直到超過設(shè)定的過期時(shí)間。存儲(chǔ)在硬盤上的cookie可以在不同的瀏覽器進(jìn)程間共享泄鹏，比如兩個(gè)IE窗口郎任。而對(duì)于保存在內(nèi)存里的cookie，不同的瀏覽器有不同的處理方式备籽。

而session機(jī)制采用的是一種在服務(wù)器端保持狀態(tài)的解決方案舶治。同時(shí)我們也看到，由于采用服務(wù)器端保持狀態(tài)的方案在客戶端也需要保存一個(gè)標(biāo)識(shí)车猬，所以session機(jī)制可能需要借助于cookie機(jī)制來達(dá)到保存標(biāo)識(shí)的目的霉猛。而session提供了方便管理全局變量的方式 。

session是針對(duì)每一個(gè)用戶的珠闰，變量的值保存在服務(wù)器上惜浅，用一個(gè)sessionID來區(qū)分是哪個(gè)用戶session變量,這個(gè)值是通過用戶的瀏覽器在訪問的時(shí)候返回給服務(wù)器，當(dāng)客戶禁用cookie時(shí)伏嗜，這個(gè)值也可能設(shè)置為由get來返回給服務(wù)器坛悉。

就安全性來說：當(dāng)你訪問一個(gè)使用session 的站點(diǎn)，同時(shí)在自己機(jī)子上建立一個(gè)cookie承绸，建議在服務(wù)器端的session機(jī)制更安全些裸影，因?yàn)樗粫?huì)任意讀取客戶存儲(chǔ)的信息。

session機(jī)制

session機(jī)制是一種服務(wù)器端的機(jī)制军熏，服務(wù)器使用一種類似于散列表的結(jié)構(gòu)（也可能就是使用散列表）來保存信息轩猩。

當(dāng)程序需要為某個(gè)客戶端的請(qǐng)求創(chuàng)建一個(gè)session時(shí)，服務(wù)器首先檢查這個(gè)客戶端的請(qǐng)求里是否已包含了一個(gè)session標(biāo)識(shí)（稱為session id）荡澎，如果已包含則說明以前已經(jīng)為此客戶端創(chuàng)建過session均践，服務(wù)器就按照session id把這個(gè)session檢索出來使用（檢索不到，會(huì)新建一個(gè)）摩幔，如果客戶端請(qǐng)求不包含session id浊猾，則為此客戶端創(chuàng)建一個(gè)session并且生成一個(gè)與此session相關(guān)聯(lián)的session id，session id的值應(yīng)該是一個(gè)既不會(huì)重復(fù)热鞍，又不容易被找到規(guī)律以仿造的字符串葫慎，這個(gè)session id將被在本次響應(yīng)中返回給客戶端保存。

保存這個(gè)session id的方式可以采用cookie薇宠，這樣在交互過程中瀏覽器可以自動(dòng)的按照規(guī)則把這個(gè)標(biāo)識(shí)發(fā)揮給服務(wù)器偷办。一般這個(gè)cookie的名字都是類似于SEEESIONID。但cookie可以被人為的禁止澄港，則必須有其他機(jī)制以便在cookie被禁止時(shí)仍然能夠把session id傳遞回服務(wù)器椒涯。

經(jīng)常被使用的一種技術(shù)叫做URL重寫，就是把session id直接附加在URL路徑的后面回梧。還有一種技術(shù)叫做表單隱藏字段废岂。就是服務(wù)器會(huì)自動(dòng)修改表單祖搓，添加一個(gè)隱藏字段，以便在表單提交時(shí)能夠把session id傳遞回服務(wù)器湖苞。

Cookie與Session都能夠進(jìn)行會(huì)話跟蹤拯欧，但是完成的原理不太一樣。普通狀況下二者均能夠滿足需求财骨，但有時(shí)分不能夠運(yùn)用Cookie镐作，有時(shí)分不能夠運(yùn)用Session。下面經(jīng)過比擬隆箩，闡明二者的特性以及適用的場所:

一该贾、存取方式

Cookie中只能保管ASCII字符串，假如需求存取Unicode字符或者二進(jìn)制數(shù)據(jù)捌臊，需求先進(jìn)行編碼杨蛋。Cookie中也不能直接存取Java對(duì)象。若要存儲(chǔ)略微復(fù)雜的信息理澎，運(yùn)用Cookie是比擬艱難的六荒。

而Session中能夠存取任何類型的數(shù)據(jù)，包括而不限于String矾端、Integer掏击、List、Map等秩铆。Session中也能夠直接保管Java Bean乃至任何Java類砚亭，對(duì)象等，運(yùn)用起來十分便當(dāng)殴玛。能夠把Session看做是一個(gè)Java容器類捅膘。

二、隱私策略

Cookie存儲(chǔ)在客戶端閱讀器中滚粟，對(duì)客戶端是可見的寻仗，客戶端的一些程序可能會(huì)窺探、復(fù)制以至修正Cookie中的內(nèi)容凡壤。而Session存儲(chǔ)在服務(wù)器上署尤，對(duì)客戶端是透明的，不存在敏感信息泄露的風(fēng)險(xiǎn)亚侠。

假如選用Cookie曹体，比較好的方法是，敏感的信息如賬號(hào)密碼等盡量不要寫到Cookie中硝烂。最好是像Google箕别、Baidu那樣將Cookie信息加密，提交到服務(wù)器后再進(jìn)行解密，保證Cookie中的信息只要本人能讀得懂串稀。而假如選擇Session就省事多了除抛，反正是放在服務(wù)器上，Session里任何隱私都能夠有效的保護(hù)母截。

三到忽、有效期

使用過Google的人都曉得，假如登錄過Google微酬，則Google的登錄信息長期有效绘趋。用戶不用每次訪問都重新登錄颤陶，Google會(huì)持久地記載該用戶的登錄信息颗管。要到達(dá)這種效果，運(yùn)用Cookie會(huì)是比較好的選擇滓走。只需要設(shè)置Cookie的過期時(shí)間屬性為一個(gè)很大很大的數(shù)字垦江。

由于Session依賴于名為JSESSIONID的Cookie，而Cookie JSESSIONID的過期時(shí)間默許為–1搅方，只需關(guān)閉了閱讀器該Session就會(huì)失效比吭，因而Session不能完成信息永世有效的效果。運(yùn)用URL地址重寫也不能完成姨涡。而且假如設(shè)置Session的超時(shí)時(shí)間過長衩藤，服務(wù)器累計(jì)的Session就會(huì)越多，越容易招致內(nèi)存溢出涛漂。

四赏表、跨域支持

Cookie支持跨域名訪問，例如將domain屬性設(shè)置為“.biaodianfu.com”匈仗，則以“.biaodianfu.com”為后綴的一切域名均能夠訪問該Cookie瓢剿。跨域名Cookie如今被普遍用在網(wǎng)絡(luò)中悠轩，例如Google间狂、Baidu、Sina等火架。而Session則不會(huì)支持跨域名訪問鉴象。Session僅在他所在的域名內(nèi)有效。

僅運(yùn)用Cookie或者僅運(yùn)用Session可能完成不了理想的效果何鸡。這時(shí)應(yīng)該嘗試一下同時(shí)運(yùn)用Cookie與Session炼列。Cookie與Session的搭配運(yùn)用在實(shí)踐項(xiàng)目中會(huì)完成很多意想不到的效果。

五音比、瀏覽器支持

Cookie是需要客戶端瀏覽器支持的俭尖。假如客戶端禁用了Cookie，或者不支持Cookie，則會(huì)話跟蹤會(huì)失效稽犁。關(guān)于WAP上的應(yīng)用焰望，常規(guī)的Cookie就派不上用場了。

假如客戶端瀏覽器不支持Cookie已亥，需要運(yùn)用Session以及URL地址重寫熊赖。需要注意的是一切的用到Session程序的URL都要進(jìn)行URL地址重寫，否則Session會(huì)話跟蹤還會(huì)失效虑椎。關(guān)于WAP應(yīng)用來說震鹉，Session+URL地址重寫或許是它唯一的選擇。

假如客戶端支持Cookie捆姜，則Cookie既能夠設(shè)為本瀏覽器窗口以及子窗口內(nèi)有效（把過期時(shí)間設(shè)為–1）传趾，也能夠設(shè)為一切閱讀器窗口內(nèi)有效（把過期時(shí)間設(shè)為某個(gè)大于0的整數(shù)）。但Session只能在本閱讀器窗口以及其子窗口內(nèi)有效泥技。假如兩個(gè)瀏覽器窗口互不相干浆兰，它們將運(yùn)用兩個(gè)不同的Session。

六珊豹、服務(wù)器壓力

Session是保管在服務(wù)器端的簸呈，每個(gè)用戶都會(huì)產(chǎn)生一個(gè)Session。假如并發(fā)訪問的用戶十分多店茶，會(huì)產(chǎn)生十分多的Session蜕便，耗費(fèi)大量的內(nèi)存。因而像Google贩幻、Baidu轿腺、Sina這樣并發(fā)訪問量極高的網(wǎng)站，是不太可能運(yùn)用Session來追蹤客戶會(huì)話的段直。

而Cookie保管在客戶端吃溅，不占用服務(wù)器資源。假如并發(fā)閱讀的用戶十分多鸯檬，Cookie是很好的選擇决侈。關(guān)于Google、Baidu喧务、Sina來說赖歌，Cookie或許是唯一的選擇。