在Java Web开发中，Session作为服务器端的会话跟踪技术，为保持用户状态和管理应用程序逻辑提供了强大的支持。本文将全方位解析Session的工作原理、前后端实现方法，并对比其与其他会话跟踪技术（如Cookie）的区别，同时探讨多种应用场景，以助开发者更好地理解和运用Session机制。
13.1 Session基本概念
Session是Web服务器为了维持特定客户端用户的会话而创建的一种数据存储结构。每个用户在与服务器交互时都会获得一个唯一的Session ID，这个ID通常通过Cookie或者URL重写等方式传递给客户端。服务器端根据Session ID来关联和维护该用户的状态信息。
13.2 后端Java Servlet中的Session操作
在Java Servlet中，我们可以使用HttpSession接口来创建、读取和管理Session。
- 创建并获取Session
import javax.servlet.http.HttpSession; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; public void getSession(HttpServletRequest request, HttpServletResponse response) { HttpSession session = request.getSession(); // 获取或创建新的Session session.setAttribute("username", "JohnDoe"); // 设置Session属性 }
- 读取Session属性
public String getUsername(HttpServletRequest request) { HttpSession session = request.getSession(false); // 获取已存在的Session，不存在则返回null if (session != null) { return (String) session.getAttribute("username"); // 读取Session属性值 } return null; // 如果没有找到，则返回null }
- 销毁Session
public void invalidateSession(HttpServletRequest request) { HttpSession session = request.getSession(); if (session != null) { session.invalidate(); // 销毁当前Session } }
13.3 前端JavaScript与后端Session的交互
前端一般不会直接操作Session，而是通过HTTP请求中的Cookie（默认名为JSESSIONID）间接访问。当浏览器发送带有有效Session ID的请求时，服务器能够识别并关联到对应的Session。
// 假设已在服务器端设置好sessionToken function sendAjaxRequest() { var xhr = new XMLHttpRequest(); xhr.open('GET', '/api/protected-resource', true); xhr.setRequestHeader('Content-Type', 'application/json'); xhr.onreadystatechange = function () { if (xhr.readyState === 4 && xhr.status === 200) { // 处理成功响应 } else { // 处理错误情况 } }; xhr.send(); }
此处前端并不需要手动处理Session ID，因为现代浏览器会自动在请求头中携带相关Cookie。
13.4 Session与Cookie区别总结
- 持久性：Session数据保存在服务器端，仅凭客户端的Session ID访问；Cookie数据保存在客户端。
- 大小限制：Session理论上可以存储任意大小的数据；Cookie大小有限制（通常为4KB）。
- 安全性：Session数据相对安全，但需防止Session Fixation攻击；Cookie数据容易被盗用，敏感信息应避免直接存入Cookie。
- 网络传输：每次HTTP请求都需携带Session ID，而非所有Session数据；Cookie数据随请求头一起传输。
13.5 Session的应用场景总结
- 用户身份验证：用于记录登录状态，确保用户在整个会话期间无需反复登录。
- 购物车功能：存储用户临时添加的商品信息，跨页面共享购物车内容。
- 个性化设置：记录用户的偏好设置，例如界面布局、主题颜色等。
- 权限控制：根据用户角色存储不同权限信息，控制对资源的访问。
