Session
Cookie技术可以将用户的信息保存在各自的浏览器中，
优点：很明显实现了同一个用户不同请求中数据共享。
缺点：黑客可以利用脚本等手段 窃取cookie中的重要数据，从而泄漏个人的隐私，存在巨大的安全隐患。
session技术 是将会话的数据保存在服务器端的技术。
3.1.什么是session？
为了更好的理解session，以网站购物为例，通过一张图来描述session保存用户 信息的原理。
用户甲和用户乙都调用buyServlet将商品添加到购物车，调用payServlet进行商品结算。
由于甲和乙购买商品类似，这里以甲为主。
当用户甲访问购物网站时，服务器为甲创建了一个session对象（相当于购物车）。
当甲将小米手机添加到购物车时，小米手机的信息便存到了session对象中，同时，服务器将session对象的唯一标识id属性以Cookie的形式返回给甲的浏览器。
当甲完成购物进行结账时，需要向服务器结账请求，这时，浏览器就会自动在请求头将 唯一标识 回送给服务器。
服务器根据唯一标识，找到为用户甲创建的session容器，并将session对象中存放的手机信息进行结算。
需要注意的是：由于客户端需要接受、记录、和回送session的唯一标识，
因此通常情况下，session是借助cookie技术来传递ID属性的。
3.1.Session的API
3.1.1.获取Session对象
Session是基于用户的请求，而把用户的重要信息在服务器端针对这个用户（浏览器）创建了一个容器。
而这个Session容器是由web服务器(tomcat)帮助我们创建的，在程序中我们只能去获取到这个容器，然后给容器添加数据或者取出数据，或者删除数据，而我们是不能创建这个容器对象。
在HttpServletRequest对象中提供了获取session对象的方法：
使用request对象就可以获取到当前针对用户的请求服务器内部创建的那个Session容器对象。
HttpSession依然是一个接口，而这个接口的实现类有web服务器来提供。只要能够运行我们JavaEE项目的web访问前，它们都会实现Java提供的所有web技术中的接口。
演示Session：
需要2个Servlet程序:
在第一个Servlet中获取到Session对象，然后把用户当前的ip保存在Session中，在第二Servlet中取出，然后通过response对象把ip给客户端响应回去。第一个Servlet访问完之后，不使用转发技术。
给Session对象中保存数据：
需要使用HttpSession接口中的：
获取数据：
删除Session中的数据
需求1： 共享数据：第一个Servlet程序：获取到用户的ip保存在Session中；在第二个servlet中取出session中的ip(debug演示)
3、新建Session2Servlet，从session中获取ip
4、通过浏览器直接访问Session2Servlet，能够看到ip吗？
看不到，原因：还没有向session容器中存放ip。
5、通过浏览器先访问Session1Servlet，再访问Session2Servlet，能看到ip地址吗？ 能
3.2.2.服务器端操作Session时细节
其实服务器端可以识别每个用户的对应的Session容器，主要是因为服务器针对每个用户都发送了JSESSIONID（session容器的唯一标识）的Cookie信息。这样用户在操作的时候，都会携带这个Cookie到服务器端，因此服务器端才能识别针对当前这个用户的那个session容器对象。
服务器在给客户端响应数据的时候，把Session容器的唯一标识以Cookie的形式发送给浏览器，而这个Cookie是一个会话级别（临时）Cookie，它只能存活在浏览器运行的阶段，如果浏览器关闭了，这个Cookie信息就没有了，因此在此打开浏览器访问的时候，就不会在服务器获取到针对当前用户的JSESSIONID信息，因此无法找到针对当前用户的那个Session容器。
进一步说明，服务器端的Session容器对象，是针对每个浏览器的。
3.2.3.使用getSession方法的细节
在api中提供2个获取Session对象的方法：
getSession()：
空参数的方法，在使用的时候，如果服务器端针对当前用户的浏览器没有Session容器，这时在服务器的内部会先创建一个Session对象，然后把这个Session对象返回给我们的程序。
如果Session容易已经存在，这时它是不会再创建新的Session容器对象，只是把找到的这个Session容器对象返回给程序。在找的过程中需要依赖于JSESSIONID。
getSession(Boolean create)：
如果这个在调用的时候，传递的值为false，它仅仅只会在容器根据JSESSIONID找有没有对应的Session容器对象，如果有就返回这个Session容器对象，如果没有，就返回null。
如果传递的值true，在根据JSESSIONID找Session容器对象的时候，如果不存在就会创建一个新的Session容器对象，并返回这个容器对象，如果存在就，直接返回存在的Session容器对象。
3.3.思考：关闭浏览器后再次访问能获取到Session的数据吗？
一般情况下，关闭浏览器之后，再次访问，是无法获取到Session中的数据的。
因此在服务器针对当前用户的第一次请求创建的唯一的Session容器对象，而在给这次请求的之后，服务器需要给用户响应数据，在响应的时候，服务器把当前Session容器对象的JSESSIONID以Cookie的形式发送给了浏览器。而这个Cookie并没有设置有效时间，那么这个Cookie就属于临时Cookie，在关闭浏览器之后，再次打开浏览器的时候，上次的Cookie已经消失了，用户虽然拿同一个浏览器访问服务器，可是这时没有JSESSIONID，服务器端的Session容器依然存在，但是没有JSESSIONID，服务器内部无法获取到这个session对象
把包含了JSESSIONID的Cookie在客户端持久化。
3.4.禁用Cookie后Session追踪
服务器端获取Session对象依赖于客户端携带的Cookie中的JSESSIONID数据。如果用户把浏览器的隐私级别调到最高，这时浏览器是不会接受Cookie、这样导致永远在服务器端都拿不到的JSESSIONID信息。这样就导致服务器端的Session使用不了。
Java针对Cookie禁用，给出了解决方案，依然可以保证JSESSIONID的传输。
Java中给出了再所有的路径的后面拼接JSESSIONID信息。
使用response对象中的方法完成：
需求3：浏览器禁用cookie，当前servlet的session中设置ip，超链接跳转另一个servlet时可以获取ip地址。
1在Session1Servlet中，使用response.encodeURL(url)对超链接路径拼接 session的唯一标识
2使用浏览器访问
在response对象中的提供的encodeURL方法它只能对页面上的超链接或者是form表单中的action中的路径进行重写（拼接JSESSIONID）。
如果我们使用的重定向技术，这时必须使用下面方法完成：
1在Session1Servlet的基础上增加如下代码：
其实就是在路径后面拼接了Session的唯一标识 JSESSIONID。
3.5.Session的生命周期（面试）
Session对象的创建时间：
当前服务器启动之后，用户第一次访问某个Servlet程序的时候，在这个Servlet中调用getSession()方法或者调用的getSession(true),这时服务器内部才会针对当前这个用户的浏览器创建一个Session容器对象。
Session的销毁时间：
1、不正常关闭服务器。如果是正常关闭服务器，这时服务器内部会使用IO流中的序列化技术把这个Session对象保存在tomcat/work目录下面。
2、Session在服务器的存活时间。Session对象在服务器内部有默认的存活的时间。一般默认是30分钟。如果在30分钟内，用户没有再对当前这个服务器中的资源进行任何的访问操作，这时只要时间到达30分钟，服务器会自动的销毁这个session。
Session的存活时间我们可以在当前这个项目的web.xml中配置：
3、调用HttpSession中的销毁Session的方法：
3.1.Session案例一次性验证码登录
验证码的实现原理：
在一个Servlet中生成验证，并把验证码上的数据保存在Session，用户提交验证码之后，会提交给另外一个Servlet程序。在获取用户提交数据的Servlet中的从Session中把验证码取出，在取出的同时从Session中把验证码删除。
注册页面：register.jsp
生成验证码参考：cn.itcast.session.CheckImgServlet
publicclassCheckImgServletextendsHttpServlet {
publicvoiddoGet(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException {
intwidth = 120;
intheight = 40;
// 先生成一张纸
BufferedImage bufi =newBufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
// 画笔
Graphics g = bufi.getGraphics();
// 设置背景颜色
// 修改画笔颜色
g.setColor(Color.white);
// 填充
g.fillRect(0, 0, width, height);
// 绘制边框
// 设置边框颜色
g.setColor(Color.red);
// 画边框
g.drawRect(0, 0, width - 1, height - 1);
// 准备一些数据
String data ="ABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890abcdefghijklmnopqrstuvwxyz";
// 生成随机对象
Random r =newRandom();
String checkcode ="";
// 生成4个随机的数字
for(inti = 0; i < 4; i++) {
// 生成随机颜色
g.setColor(newColor(r.nextInt(255), r.nextInt(255), r.nextInt(255)));
// 设置字体
g.setFont(newFont("宋体", Font.ITALIC, 25));
String c = data.charAt(r.nextInt(data.length())) +"";
g.drawString(c, 10 + (20 * i), 30);
checkcode += c;
}
// 将生成的验证码放到 session中
request.getSession().setAttribute("session_checkcode", checkcode);
// 画干扰线
for(inti = 0; i < 8; i++) {
// 设置随机颜色
g.setColor(newColor(r.nextInt(255), r.nextInt(255), r.nextInt(255)));
// 画线 两点确定一线
g.drawLine(r.nextInt(width), r.nextInt(height), r.nextInt(width), r.nextInt(height));
}
// 将图片输出到浏览器
ImageIO.write(bufi,"jpg", response.getOutputStream());
}
publicvoiddoPost(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException {
}
}
注册servlet:
3.1.Servlet三种数据范围
下面的三个对象，可以当做容器来使用，可以保存数据，因此他们也被称为域对象。
ServletContext：它保存的数据所有的Servlet共享。它的范围最大。开发几乎不用。除非需要保存整个项目中共享的信息才会使用。
HttpSession：它是针对当前某个用户（浏览器）的一系列操作，然后在服务器端创建的一个容器，整个容器仅仅只能是当前这个客户端（浏览器）使用。多个客户端（浏览器），它们会有不同的Session容器对象
HttpServletRequest：它的针对用户的这次请求，只要请求和响应结束，这个容器就消失了。一般开发中这个容器是最常用。只要给request中保存了数据之后，那么就会使用转发技术，转发到JSP页面上，在页面上使用EL表达式把request中的数据取出，并显示。
