分类：
2007-05-22 16:07:03
关于使用会话追踪(session tracking)
HTTP是一种无连接的协议，如果一个客户端只是单纯地请求一个文件（HTML或GIF），服务器端可以响应给客户端，并不需要知道一连串的请求是否来自于相同的客户端，而且也不需要担心客户端是否处在连接状态。但是这样的通信协议使得服务器端难以判断所连接的客户端是否是同一个人。当进行Web程序开发时，我们必须想办法将相关的请求结合一起，并且努力维持用户的状态在服务器上，这就引出了会话追踪（session tracking）。
1:会话与会话追踪session
中文经常翻译为“会话”，其本来的含义是指有始有终的一系列动作或消息，比如打电话时从拿起电话拨号到挂断电话这中间的一系列过程可以称之为一个session。有时候可以看到这样的话“在一个浏览器会话期间……”，这里的会话一词用的就是其本义，是指从一个浏览器窗口打开到关闭这个期间；如果说“用户在一次会话期间……”这样一句话，它指用户的一系列动作，比如从登录到选购商品到结账登出这样一个网上购物的过程；然而有时候也可能仅仅是指一次连接。session的含义很多，其中的差别只能靠上下文来推断。session tracking（会话追踪）是指一类用来在客户端与服务器之间保持状态的解决方案，简单地说，当一个客户在多个页面间切换时，服务器会保存该用户的信息。
2:实现会话追踪的4种方式会话追踪的实现方式有下列4种方式：
（1）使用持续Cookies（Persistent Cookies）。
（2）重写包含额外参数的URL（URL Rewriting）。
（3）建立含有数据的隐藏表单字段（Hidden Form Field）。
（4）使用内建session对象。
前三种会话追踪方式是传统的做法，每种做法都有缺点。最后一种方法是目前最常用，也是最有效的解决方案，因此在这里将把讨论重心放在第4种会话追踪方式上，然而为求彻底了解会话追踪的机制，还是先将传统的会话追踪方式先做一番介绍。
2.1:使用Cookie
Cookie是一个小小的文本文件，它是将会话信息记录在这个文本文件内，每个页面都去Cookie中提取以前的会话信息。例如：
String sessionID = makeUniqueString();
HashMap sessionInfo = new HashMap();
HashMap globalTable = findTableStoringSessions();
globalTable.put(sessionID, sessionInfo);
Cookie sessionCookie =new Cookie("JSESSIONID", sessionID);
sessionCookie.setPath("/");
response.addCookie(sessionCookie);
上面这段代码先将会话信息记录在HashMap中，保存在服务器端，并用sessionID标识，然后把sessionID保存在名为“JSESSIONID”的Cookie中。
用户请求到达服务器后，先从Cookie中取出sessionID，然后从HashMap中取出会话信息。这样就实现了会话追踪。
虽然Cookie强大且持续性高，但是由于有些用户因为担心Cookie对个人隐私的威胁，会关闭Cookie，一旦如此，便无法利用Cookie来达到会话追踪的功能。
2.2:URL重写
URL重写是利用GET的方法，在URL的尾部添加一些额外的参数来达到会话追踪（session tracking）的目的，服务器将这个标识符与它所存储的有关会话的数据关联起来。URL看起来如下：
,
使用URL重写的优点是Cookie被禁用或者根本不支持的情况下依旧能够工作。但也有很多缺点：
1。必须对所有指向您的网站的URL进行编码。
2。所有页面必须动态生成。
3.不能使用预先记录下来的URL进行访问，或者从其他网站链接进行访问。
2.3:隐藏表单字段
隐藏表单字段的方法，是利用HTML内hidden的属性，把客户端的信息，在用户不察觉的情形下，偷偷地随着请求一起传送给到服务器处理，这样一来，就可以进行会话跟踪的任务了。可以下列的方法来做隐藏表单字段的会话追踪。
然后将重要的用户信息，如ID之类独一无二的数据，以隐藏字段的方式传送给服务器。隐藏字段的优点在于session数据传送到服务器端时，并不象GET的方法，会将session数据保露在URL之上。不过这种做法还是有它的缺点：一旦session数据储存在隐藏字段中，就仍然有暴露数据的危机，因为只要用户直接观看HTML的源文件，session数据将会暴露无疑。这将造成安全上的漏洞，特别当用户数据是依赖于用户ID、密码来取得的时候，将会有被盗用的危险。
2.4:使用内建session对象
传统的会话追踪方式使用比较麻烦，JSP使用内建的session对象可以非常方便地实现会话追踪，JSP的会话机制基于Cookie或URL重写技术，融合了这两种技术的优点，当客户端允许使用Cookie时，内建session对象使用Cookie进行会话追踪，如果客户端禁用Cookie，则选择使用URL重写。
（1）获取session对象例如把购物车作为属性存储在session中，在其他JSP页面中可以通过session再获得购物车。
// 在JSP页面中可以直接使用session
ShoppingCart cart = (ShoppingCart)session.getAttribute("cart");
内建的session对象是javax.servlet.http.HttpSession类的实例，如果在JavaBean或者Servlet中使用session就需要先从当前的request对象中取得，例如：
// 得到用户session和购物篮
HttpSession session = request.getSession();
ShoppingCart cart = (ShoppingCart)session.getAttribute("cart");
（2）读写session中的数据向session中存入对象使用setAttribute方法，通过getAttribute方法读取对象。从session返回的值注意要转换成合适的类型，要注意检查结 果是否为null。例如下面一段代码：
HttpSession session = request.getSession();
SomeClass value = (SomeClass)session.getAttribute("someID");
if (value == null) {
value = new SomeClass(...);
session.setAttribute("someID", value);
}
doSomethingWith(value);
（3）废弃session数据调用removeAttribute废弃session中的值，即移除与名称关联的值。
调用invalidate废弃整个session，即废弃当前的session。
如果用户注销离开站点，注意废弃与用户相关联的所有session。
（4）session的生命周期由于没有办法知道HTTP客户端是否不再需要session，因此每个session都关联一个时间期限使它的资源可以被回收。
（5）服务器使用URL重写session时默认使用Cookie技术进行会话追踪，通常，会话管理是通过服务器将 Session ID 作为一个 cookie 存储在用户的 Web 浏览器中来唯一标识每个用户会话。如果客户端不接受Cookie的时候，服务器可以利用URL重写的方式将sessionID作为参数附在URL后面，来实现会话管理，
此时须利用response.encodeURL()或response.encodeRedirectURL()方法，这两个方法首先判断Cookies是否被浏览器支持；如果支持，则参数URL被原样返回，session ID将通过Cookies来维持。否则返回带有sessionID的URL。
下面是使用encodeURL方法的示例，两个文件hello1.jsp和hello2.jsp。
a: hello1.jsp的完整程序代码如下：
<%@ page contentType="text/html;charset=gb2312"%>
<%String url =response.encodeURL("hello2.jsp");%>
进入到hello2.jsp
b: 解释:
例如hello1.jsp?action=你好 response.encodeURL()之后呢就变成hello1.jsp?action=B%GD*%C#这样了
hello1.jsp利用了response对象内的encodeURL方法，将URL做了一个编码动作。其实就是把
进入到hello2.jsp改为:进入到hello2.jsp
c: 若要使用重定向，例如:
response.sendRedirect("hello2.jsp");也应该改为:response.encodeRedirectURL("hello2.jsp");
同时需要注意的是，将session的ID以URL的编码方式进行时，需将每一页都编码，才能保留住session的ID。如果遇到没有编码的URL，则无法进行会话跟踪。
d: hello2.jsp的完整程序代码如下：
<%@ page contentType="text/html;charset=gb2312"%>
<% out.println("sessionID is "+session.getId());%>
e: 可以看到如果服务器使用URL重写，它将会话信息附加到URL上，如下所示：
f: 实质上 URL 重写是通过向 URL 连接添加参数，并把 session ID 作为值包含在连接中。然而，为使这生效，你需要为你的 servlet 响应部分的每个连接添加 session ID 。 把 session ID 加到一个连接可以使用一对方法来简化：response.encodeURL()
（6）内建session对象
使用示例下面是一个记录同一用户到站次数的计数器，该实例包含一个文件sessionCounter.jsp。sessionCounter.jsp的完整程序代码如下：
<%@ page contentType="text/html;charset=gb2312"%>
sessionCounter.jsp记录单一用户每次光临的次数。首先，从session内取出accessCount的值，如果值为null时，代表用户第一次光临，就将accessCount设为0，将heading设为“Welcome, Newcomer”，如果值不为null，则把accessCount的值加1，将heading设为“Welcome Back”。
