cookie和session 區別和聯絡

標籤：style   blog   http   java   使用   strong   

漫談Cookie與Session 及其區別和聯絡

之前在網上看到了有人關於Session詳解，感覺不錯，的確很多人對Cookie與Session一直處於混淆狀態，因此，我在這裡借用了一部分前輩的總結，經過自己的理解進行修改和完善，並補充了二者之間的區別和聯絡，如有不妥當之處還請各位批評指正。

一、Session概念

Session，中文翻譯為會話，其本來的含義是指有始有終的一系列動作/訊息，比如打電話時從拿起電話撥號到掛斷電話這中間的一系列過程可以稱之為一個會話。在這裡Session是指一個瀏覽器從開啟訪問一個WEB網站到關閉對這一WEB網站的訪問的全過程。

二、HTTP協議與狀態保持

HTTP 協議本身是無狀態的，這與HTTP協議本來的目的是相符的，用戶端只需要簡單的向伺服器請求下載某些檔案，無論是用戶端還是伺服器都沒有必要紀錄彼此過去的行為，每一次請求之間都是獨立的。

Cookie的作用就是為瞭解決HTTP協議無狀態的缺陷所作出的努力。至於後來出現的Session機制則是又一種在用戶端與伺服器之間保持狀態的解決方案。

讓我們用幾個例子來描述一下Cookie和Session機制之間的區別與聯絡。

比如一家咖啡店有優惠活動：喝5杯咖啡免費贈一杯咖啡，然而顧客一般不可能一次性消費5杯咖啡，這時就需要某種方式來紀錄某位顧客的消費數量。因此有下面的幾種方案：1、該店的店員很厲害，能記住每位顧客的消費數量，只要顧客一走進咖啡店，店員就知道該怎麼對待了。這種做法就是協議本身支援狀態。

2、發給顧客一張卡片，上面記錄著消費的數量，一般還有個有效期間限。每次消費時，如果顧客出示這張卡片，則此次消費就會與以前或以後的消費相聯絡起來。這種做法就是在客

戶端保持狀態，即Cookie機制。

3、發給顧客一張會員卡，除了卡號之外什麼資訊也不紀錄，每次消費時，如果顧客出示該卡片，則店員在店裡的紀錄本上找到這個卡號對應的紀錄添加一些消費資訊。這種做法就

是在伺服器端保持狀態，即Session機制。

由於HTTP協議是無狀態的，而出於種種考慮也不希望使之成為有狀態的，因此，後面兩種方案就成為現實的選擇。具體來說Cookie機制採用的是在用戶端保持狀態的方案，而Session機制採用的是在伺服器端保持狀態的方案。同時我們也看到，由於採用伺服器端保持狀態的方案在用戶端也需要儲存一個標識，所以Session機制可能需要藉助於Cookie機制來達到儲存標識的目的，但實際上它還有其他選擇。

三、理解Cookie機制 

Cookie機制的基本原理就如上面的例子一樣，但是還有幾個問題需要解決：“會員卡”如何分發；“會員卡”的內容；以及客戶如何使用“會員卡”。

Cookie分發機制：

正統的Cookie分發是通過擴充HTTP協議來實現的，伺服器通過在HTTP的回應標頭中加上一行特殊的指示以提示瀏覽器按照指示產生相應的Cookie。並儲存在Internet臨時檔案裡，然而純粹的用戶端指令碼如JavaScript或者VBScript也可以產生Cookie。而Cookie 的使用是由瀏覽器按照一定的原則在後台自動發送給伺服器的。瀏覽器檢查所有儲存的Cookie，如果某個Cookie所聲明的作用範圍（是由Cookie中的路徑與域合組成）大於等於將要請求的資源所在的位置（例如資源所在的位置為www.google.com/foo而Cookie中的範圍可能是www.google.com/即大於或者www.google.com/foo即等於），則把該Cookie附在請求資源的HTTP要求標頭上發送給伺服器。意思是麥當勞的會員卡只能在麥當勞的店裡出示，如果某家分店還發行了自己的會員卡，那麼進這家店的時候除了要出示麥當勞的會員卡，還要出示這家店的會員卡。

Cookie內容：

Cookie的內容主要包括：名字，值，到期時間，路徑和域。

1.域：可以指定某一個域比如.google.com，也可以指定一個域下的具體某台機器比如www.google.com或者froogle.google.com。

2.路徑：就是跟在網域名稱後面的URL路徑，比如/或者/foo等等。

路徑與域合在一起就構成了Cookie的作用範圍。

如果不設定到期時間，則表示這個Cookie的生命期為瀏覽器會話期間，因為它只是儲存在用戶端記憶體中，只要關閉瀏覽器視窗，Cookie就消失了。這種生命期為瀏覽器會話期的Cookie被稱為會話Cookie。會話Cookie一般不儲存在硬碟上而是儲存在記憶體裡，當然這種行為並不是規範規定的。如果設定了到期時間，瀏覽器就會把Cookie儲存到硬碟上，關閉後再次開啟瀏覽器，這些Cookie仍然有效直到超過設定的到期時間。儲存在硬碟上的Cookie 可以在不同的瀏覽器進程間共用，比如兩個IE視窗。而對於儲存在記憶體裡的Cookie，不同的瀏覽器有不同的處理方式。對於IE，在一個開啟的視窗上按 Ctrl+N（或者從檔案菜單）或者其他IE核心的瀏覽器（如360或搜狗）開啟的視窗可以與原視窗共用，而使用其他方式新開的IE進程則不能共用已經開啟的視窗的記憶體Cookie；對於 Mozilla Firefox8.0，所有的進程和標籤頁都可以共用同樣的Cookie。

一般來說是用JavaScript的window.open開啟的視窗會與原視窗共用記憶體Cookie。瀏覽器對於會話Cookie的這種只認Cookie不認人的處理方式，經常給採用Session機制的web應用程式開發人員造成很大的困擾。

下面就是一個Goolge設定Cookie的回應標頭的例子

HTTP/1.1 302 Found

Location: http://www.google.com/intl/zh-CN/

Set-Cookie: PREF=ID=0565f77e132de138:NW=1:TM=1098082649:LM=1098082649:S=KaeaCFPo49RiA_d8; expires=Sun, 17-Jan-2038 19:14:07 GMT; path=/; domain=.google.com

Content-Type: text/html

當瀏覽器再次訪問Goolge的資源時自動向外發送Cookie

四、理解Session機制

Session機制是一種伺服器端的機制，伺服器使用一種類似於散列表的結構來儲存資訊。

當程式需要為某個用戶端的請求建立一個Session的時候，伺服器首先檢查這個用戶端的請求裡是否已包含了一個Session標識，稱為Session id，如果已包含一個Session id則說明以前已經為此用戶端建立過Session，伺服器就按照Session id把這個 Session檢索出來使用（如果檢索不到，可能會在伺服器記憶體中建立一個Session），如果用戶端請求不包含Session id，則為此用戶端建立一個Session並且產生一個與此Session相關聯的Session id，Session id的值應該是一個既不會重複，又不容易被找到規律以仿造的字串，這個Session id將會在本次伺服器響應中被返回給用戶端儲存。儲存這個Session id的方式一般是在用戶端瀏覽器建立一個Cookie，將Session id儲存在該Cookie中，這樣在互動過程中瀏覽器可以自動的按照規把這個標識發給伺服器端。

一般這個Cookie的名字都是類似於SEEESIONID，而。比如weblogic對於web應用程式產生的Cookie，JSessionID= ByOK3vjFD75aPnrF7C2HmdnV6nLerjQ99zWpBng!-145788764，它的名字就是 JSessionID。

由於Cookie可以被人為的禁止，必須有其他機制以便在Cookie被禁止時仍然能夠把Session id傳遞迴伺服器。經常被使用的一種技術叫做URL重寫，就是把Session id直接附加在URL路徑的後面，附加方式也有兩種，一種是作為URL路徑的附加資訊，表現形式為http://...../xxx;jSessionid=ByOK3vjFD75aPnrF7C2HmdnV6QZcYzWpBng!-145788764，

另一種是作為查詢字串（queryString的方式）附加在URL後面，表現形式為http://...../xxx?jSessionid=ByOK3vjFD75aPnrF7C2HiBYEnLerjQ99zWpBng!-145788764這兩種方式對於使用者來說是沒有區別的，只是伺服器在解析的時候處理的方式不同，採用第一種方式也有利於把Session id的資訊和正常程式參數區分開來。

為了在整個互動過程中始終保持狀態，就必須在每個用戶端可能請求的路徑後面都包含這個Session id。

另一種技術叫做表單隱藏欄位。就是伺服器會自動修改表單，添加一個隱藏欄位，以便在表單提交時能夠把Session id傳遞迴伺服器。

這種技術現在已較少應用，實際上這種技術可以簡單的用對action應用URL重寫來代替。

在談論Session機制的時候，常常聽到這樣一種誤解“只要關閉瀏覽器，Session就消失了”。這種說法並不正確，對Session來說，除非程式通知伺服器刪除一個Session，否則伺服器會把Session一直保留在記憶體當中，程式一般都是在使用者做log off的時候發個指令去刪除Session，例如一般在網上銀行上都會有安全退出，然而瀏覽器從來不會主動在關閉之前通知伺服器它將要關閉，因此伺服器根本不會有機會知道瀏覽器已經關閉，之所以會有這種錯覺，是大部分Session機制都使用會話Cookie來儲存Session id，而由於關閉瀏覽器後該會話Cookie就從記憶體中刪除了，因此這個會話的Session id也就消失了，再次串連伺服器時也就無法找到原來的Session。如果伺服器設定的Cookie被儲存到硬碟上，或者使用某種手段改寫瀏覽器發出的HTTP要求標頭，把原來的Session id發送給伺服器，則再次開啟瀏覽器仍然能夠找到原來的Session。

恰恰是由於關閉瀏覽器不會導致Session被刪除，迫使伺服器為Session設定了一個失效時間，預設一般是30分鐘，當距離用戶端，上一次使用Session的時間超過這個失效時間時，即兩次使用Session的時間間隔超過這個失效時間時，伺服器就可以認為用戶端已經停止了活動，伺服器端才會把Session從記憶體中刪除以節省儲存空間。

五、

Cookie與Session的區別和聯絡

 

區別	Cookie	Session
儲存位置	用戶端	伺服器端
共用性	可以被多個瀏覽器所共用	僅由一個瀏覽器所獨享
儲存形式	會話Cookie則儲存在用戶端記憶體當中 若設定Cookie到期時間則儲存在用戶端瀏覽器的Internet臨時檔案中，並儲存在硬碟中	僅儲存在伺服器端的記憶體中
儲存內容及類型	Cookie僅儲存指定的內容(名字 值 到期時間 路徑 域) 且僅是字串類型	Session可以儲存任意內容，類型不限，可以是類的對象以及集合
是否支援非英文	不直接支援非英文，必須進行編碼和解碼處理	直接支援非英文
加密	可以加密	不必加密
生命週期時間單位	秒	分
生命週期修改方式	在WEB應用程式中修改，如setMaxAge()方法	1 在伺服器軟體的設定檔中改，預設是30分鐘，修改整個網站的Session生命週期 2 在項目的WEB應用程式中改，僅修改該WEB應用程式的Session生命週期 3 在程式中修改，僅修改該指定的Session生命週期 三種方式優先順序依次升高
生命週期計時方法	會話Cookie是從該Cookie被建立到瀏覽器關閉 設定到期時間的Cookie是指從該Cookie被建立開始，時間累計到生命週期後該Cookie失效	是指用戶端兩次使用Session的時間間隔，若時間間隔超過生命週期時，該Session才失效，否則，該Session一直有效，預設生命週期是30分鐘

Cookie與Session的聯絡

一般情況下Session的Session id是以會話Cookie的方式儲存在用戶端記憶體中的，當關閉瀏覽器時，會刪除該會話Cookie，因此，關閉瀏覽器後就無法找到原來儲存該Session id的會話Cookie，因此，無法找到原來的Session ，但是此時原來的Session 還儲存在伺服器端的記憶體當中，知道到達生命週期後才會從伺服器端的記憶體中刪除。