13：会话跟踪技术Session的深度应用与实践-Java Web

在Java Web开发中，Session作为服务器端的会话跟踪技术，为保持用户状态和管理应用程序逻辑提供了强大的支持。本文将全方位解析Session的工作原理、前后端实现方法，并对比其与其他会话跟踪技术（如Cookie）的区别，同时探讨多种应用场景，以助开发者更好地理解和运用Session机制。

13.1 Session基本概念

Session是Web服务器为了维持特定客户端用户的会话而创建的一种数据存储结构。每个用户在与服务器交互时都会获得一个唯一的Session ID，这个ID通常通过Cookie或者URL重写等方式传递给客户端。服务器端根据Session ID来关联和维护该用户的状态信息。

13.2 后端Java Servlet中的Session操作

在Java Servlet中，我们可以使用HttpSession接口来创建、读取和管理Session。

1. 创建并获取Session

   import javax.servlet.http.HttpSession;
   import javax.servlet.http.HttpServletRequest;
   import javax.servlet.http.HttpServletResponse;
   
   public void getSession(HttpServletRequest request, HttpServletResponse response) {
       HttpSession session = request.getSession(); // 获取或创建新的Session
       session.setAttribute("username", "JohnDoe"); // 设置Session属性
   }
   

2. 读取Session属性

   public String getUsername(HttpServletRequest request) {
       HttpSession session = request.getSession(false); // 获取已存在的Session，不存在则返回null
       if (session != null) {
           return (String) session.getAttribute("username"); // 读取Session属性值
       }
       return null; // 如果没有找到，则返回null
   }
   

3. 销毁Session

   public void invalidateSession(HttpServletRequest request) {
       HttpSession session = request.getSession();
       if (session != null) {
           session.invalidate(); // 销毁当前Session
       }
   }
   

13.3 前端JavaScript与后端Session的交互

前端一般不会直接操作Session，而是通过HTTP请求中的Cookie（默认名为JSESSIONID）间接访问。当浏览器发送带有有效Session ID的请求时，服务器能够识别并关联到对应的Session。

// 假设已在服务器端设置好sessionToken
function sendAjaxRequest() {
    var xhr = new XMLHttpRequest();
    
    xhr.open('GET', '/api/protected-resource', true);
    xhr.setRequestHeader('Content-Type', 'application/json');

    xhr.onreadystatechange = function () {
        if (xhr.readyState === 4 && xhr.status === 200) {
            // 处理成功响应
        } else {
            // 处理错误情况
        }
    };

    xhr.send();
}

此处前端并不需要手动处理Session ID，因为现代浏览器会自动在请求头中携带相关Cookie。

13.4 Session与Cookie区别总结

• 持久性：Session数据保存在服务器端，仅凭客户端的Session ID访问；Cookie数据保存在客户端。

• 大小限制：Session理论上可以存储任意大小的数据；Cookie大小有限制（通常为4KB）。

• 安全性：Session数据相对安全，但需防止Session Fixation攻击；Cookie数据容易被盗用，敏感信息应避免直接存入Cookie。

• 网络传输：每次HTTP请求都需携带Session ID，而非所有Session数据；Cookie数据随请求头一起传输。

13.5 Session的应用场景总结

1. 用户身份验证：用于记录登录状态，确保用户在整个会话期间无需反复登录。

2. 购物车功能：存储用户临时添加的商品信息，跨页面共享购物车内容。

3. 个性化设置：记录用户的偏好设置，例如界面布局、主题颜色等。

4. 权限控制：根据用户角色存储不同权限信息，控制对资源的访问。