Java开发中Session和Cookie都有哪些区别?

1.背景介绍

什么是Cookie

Cookie 是在HTTP协议下，服务器或脚本能够维护客户工做站上信息的一种方式。Cookie 是由 Web服务器保存在用户浏览器（客户端）上的小文本文件(内容一般通过加密)，它能够包含有关用户的信息。不管什么时候用户连接到服务器，Web站点均可以访问Cookie 信息,能够看做是浏览器缓存。

什么是Session

Session的定义很抽象,在不一样的场合中session一词的含义也很不相同.它能够表明服务器与浏览器的一次会话过程,指从一个浏览器窗口打开到关闭的这个期间.也能够用于指一类用来在客户端与服务器之间保持状态的解决方案.

2.知识剖析

Cookie机制

Cookie须要解决三个问题：分发、内容和使用。

cookie的分发是经过扩展HTTP协议来实现的，服务器端经过在HTTP的响应由中加上一行特殊的指示以提示浏览器按照指示生成相应的cookie。

cookie的内容主要包括name(名字)、value(值)、maxAge(失效时间)、path(路径),domain(域)和secure

name：cookie的名字，一旦建立，名称不可更改。

value：cookie的值，若是值为Unicode字符，须要为字符编码。若是为二进制数据，则须要使用BASE64编码.

maxAge：cookie失效时间，单位秒。若是为正数，则该cookie在maxAge后失效。若是为负数，该cookie为临时cookie，关闭浏览器即失效，浏览器也不会以任何形式保存该cookie。若是为0，表示删除该cookie。默认为-1

path：该cookie的使用路径。若是设置为"/sessionWeb/"，则只有ContextPath为“/sessionWeb/”的程序能够访问该cookie。若是设置为“/”，则本域名下ContextPath均可以访问该cookie。

domain:域.能够访问该Cookie的域名。第一个字符必须为".",若是设置为".google.com",则全部以"google.com结尾的域名均可以访问该cookie",若是不设置,则为全部域名

secure：该cookie是否仅被使用安全协议传输。

cookie的使用是由浏览器按照必定的原则在后台自动发送给服务器。浏览器检查全部存储的cookie，若是某个cookie所声明的做用范围大于等于将要请求的资源所在的位置，则把该cookie附在请求资源的HTTP请求头上发送给服务器.

Session机制

Session机制是一种服务端的机制，服务器使用一种相似散列表的结构来保存信息。当程序须要为某个客户端的请求建立一个session的时候，服务器首先检查这个客户端里的请求里是否已包含了一个session标识--sessionID，若是已经包含一个sessionID，则说明之前已经为此客户端建立过session，服务器就按照sessionID把这个session检索出来使用（检索不到，可能会新建一个），若是客户端请求不包含sessionID，则为此客户端建立一个session而且声称一个与此session相关联的sessionID，sessionID的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串(服务器会自动建立),这个sessionID将被在本次响应中返回给客户端保存。

保存sessionID的方式

1，使用Cookie.此时Cookie再也不用做认证,只是做为载体,存储sessionID

2，URL重写：由于cookie能够被人为禁止，因此为了保证sessionID可以被传递给服务器，使用URL重写也是一种解决方法。

如,href="<%=response.encodeURL("index.jsp") %>"

写好后URL是这样的

href="index.jsp;jsessionid=0CCD096E7F8D97B0BE608AFDC3E1931E"

3, 隐藏表单提交.将sessionId放在隐藏表单中

实际上这几种方式最方便的仍是cookie,其余两种方式都各有弊端,URL重写的弊端是要对全部的URL都重写,很是繁琐.表单隐藏字段的弊端是只能局限于表单提交,若是是单纯的文本连接则不能提供会话跟踪

Cookie和Session之间的区别：

1.Cookie数据存放在客户的浏览器(本地),session数据放在服务器上；

2.Cookie不如session安全，别人能够分析存放在本地的Cookie并进行Cookie欺骗,因此出于安全性的考虑应当使用Session；

3.Session会在必定时间内保存在服务器上。当访问增多,会占用较多的服务器资源,因此出于性能考虑则应当使用cookie；

单个cookie保存的数据不能超过4k,不少浏览器都限制一个站点最多保存20个cookie.实际上为了性能考虑,不管是cookie仍是session,其中的信息都应当短小精悍，session由于是保存在服务器上,因此不支持跨域的访问。

扩展思考

使用cookie和session的具体场景

通常来讲,登录验证信息,客户的私人信息,如姓名,电话等,应该放在Session中.Cookie则用于用户登录网站时的自动登录以及相似"购物车"的处理.使用Cookie保存信息时最好经过加密形式来保存数据,同时是否保存登录信息,须要由用户自行选择。