session機制是一種服務器端的機制织中，服務器使用一種類似于散列表的結(jié)構(gòu)（也可能就是使用散列表）來保存信息。
當程序需要為某個客戶端的請求創(chuàng)建一個session的時候怯屉，服務器首先檢查這個客戶端的請求里是否已包含了一個session標識-稱為sessionid涩盾，如果已包含一個sessionid則說明以前已經(jīng)為此客戶端創(chuàng)建過session，服務器就按照sessionid把這個session檢索出來使用（如果檢索不到丧蘸，可能會新建一個），如果客戶端請求不包含sessionid遥皂，則為此客戶端創(chuàng)建一個session并且生成一個與此session相關聯(lián)的sessionid力喷，sessionid的值應該是一個既不會重復，又不容易被找到規(guī)律以仿造的字符串演训，這個sessionid將被在本次響應中返回給客戶端保存弟孟。
保存這個sessionid的方式可以采用cookie，這樣在交互過程中瀏覽器可以自動的按照規(guī)則把這個標識發(fā)揮給服務器样悟。一般這個cookie的名字都是類似于SEEESIONID拂募，而。比如weblogic對于web應用程序生成的cookie窟她，JSESSIONID=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764陈症，它的名字就是JSESSIONID。
由于cookie可以被人為的禁止震糖，必須有其他機制以便在cookie被禁止時仍然能夠把sessionid傳遞回服務器录肯。經(jīng)常被使用的一種技術叫做URL重寫，就是把sessionid直接附加在URL路徑的后面吊说，附加方式也有兩種论咏，一種是作為URL路徑的附加信息，表現(xiàn)形式為http://...../xxx;jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764
另一種是作為查詢字符串附加在URL后面颁井，表現(xiàn)形式為http://...../xxx?jsessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764
這兩種方式對于用戶來說是沒有區(qū)別的厅贪，只是服務器在解析的時候處理的方式不同，采用第一種方式也有利于把sessionid的信息和正常程序參數(shù)區(qū)分開來雅宾。
為了在整個交互過程中始終保持狀態(tài)养涮，就必須在每個客戶端可能請求的路徑后面都包含這個sessionid。
另一種技術叫做表單隱藏字段。就是服務器會自動修改表單单寂，添加一個隱藏字段贬芥，以便在表單提交時能夠把sessionid傳遞回服務器。比如下面的表單
<formname="testform"action="/xxx">
<inputtype="text">
</form>
在被傳遞給客戶端之前將被改寫成
<formname="testform"action="/xxx">
<inputtype="hidden"name="jsessionid"value="ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764">
<inputtype="text">
</form>
這種技術現(xiàn)在已較少應用宣决，筆者接觸過的很古老的iPlanet6(SunONE應用服務器的前身)就使用了這種技術蘸劈。
實際上這種技術可以簡單的用對action應用URL重寫來代替。
在談論session機制的時候尊沸，常常聽到這樣一種誤解“只要關閉瀏覽器威沫，session就消失了”。其實可以想象一下會員卡的例子洼专，除非顧客主動對店家提出銷卡棒掠，否則店家絕對不會輕易刪除顧客的資料。對session來說也是一樣的屁商，除非程序通知服務器刪除一個session烟很，否則服務器會一直保留，程序一般都是在用戶做logoff的時候發(fā)個指令去刪除session蜡镶。然而瀏覽器從來不會主動在關閉之前通知服務器它將要關閉雾袱，因此服務器根本不會有機會知道瀏覽器已經(jīng)關閉，之所以會有這種錯覺官还，是大部分session機制都使用會話cookie來保存sessionid芹橡，而關閉瀏覽器后這個sessionid就消失了，再次連接服務器時也就無法找到原來的session望伦。如果服務器設置的cookie被保存到硬盤上林说，或者使用某種手段改寫瀏覽器發(fā)出的HTTP請求頭，把原來的sessionid發(fā)送給服務器屯伞，則再次打開瀏覽器仍然能夠找到原來的session腿箩。 [Page]
恰恰是由于關閉瀏覽器不會導致session被刪除，迫使服務器為seesion設置了一個失效時間劣摇，當距離客戶端上一次使用session的時間超過這個失效時間時珠移，服務器就可以認為客戶端已經(jīng)停止了活動，才會把session刪除以節(jié)省存儲空間饵撑。