Session 实现原理

Session 实现原理

标签： sessionserverurlheaderwebhtml

分类：

web 开发_（9）_

Session 实现原理

2008-08-26 17:11

关键字: jsp，session

HTTP 协议 （ http://www.w3.org/Protocols/ ）是“一次性单向”协议。
服务端不能主动连接客户端，只能被动等待并答复客户端请求。客户端连接服务端，发出一个 HTTP Request，服务端处理请求，并且返回一个 HTTP Response 给客户端，本次 HTTP Request-Response Cycle 结束。
我们看到，HTTP 协议本身并不能支持服务端保存客户端的状态信息。于是，Web Server 中引入了 session 的概念，用来保存客户端的状态信息。
这里用一个形象的比喻来解释 session 的工作方式。假设 Web Server 是一个商场的存包处，HTTP Request 是一个顾客，第一次来到存包处，管理员把顾客的物品存放在某一个柜子里面（这个柜子就相当于 Session），然后把一个号码牌交给这个顾 客，作为取包凭证（这个号码牌就是 Session ID）。顾客（HTTP Request）下一次来的时候，就要把号码牌（Session ID）交给存包处（Web Server）的管理员。管理员根据号码牌（Session ID）找到相应的柜子（Session），根据顾客（HTTP Request）的请求，Web Server 可以取出、更换、添加柜子（Session）中的物品，Web Server 也可以让顾客（HTTP Request）的号码牌和号码牌对应的柜子（Session）失效。顾客（HTTP Request）的忘性很大，管理员在顾客回去的时候（HTTP Response）都要重新提醒顾客记住自己的号码牌（Session ID）。这样，顾客（HTTP Request）下次来的时候，就又带着号码牌回来了。
我们可以看到，Session ID 实际上是在客户端和服务端之间通过 HTTP Request 和 HTTP Response 传来传去的。

我们看到，号码牌（Session ID）必须包含在 HTTP Request 里面。关于 HTTP Request 的具体格式，请参见 HTTP 协议（http://www.w3.org/Protocols/ ）。这里只做一个简单的介绍。
在 Java Web Server（即 Servlet/JSP Server）中，Session ID 用 jsessionid 表示（请参见 Servlet 规范）。
HTTP Request 一般由 3 部分组成：
（1）Request Line
这一行由 HTTP Method（如 GET 或 POST）、URL、和 HTTP 版本号组成。
例如，GET http://www.w3.org/pub/WWW/TheProject.html HTTP/1.1
GET http://www.google.com/search?q=Tomcat HTTP/1.1
POST http://www.google.com/search HTTP/1.1
GET http://www.somsite.com/menu.do;jsessionid=1001 HTTP/1.1

（2）Request Headers
这部分定义了一些重要的头部信息，如，浏览器的种类，语言，类型。Request Headers 中还可以包括 Cookie 的定义。例如：
User-Agent: Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.0)
Accept-Language: en-us
Cookie: jsessionid=1001

（3）Message Body
如果 HTTP Method 是 GET，那么 Message Body 为空。
如果 HTTP Method 是 POST，说明这个 HTTP Request 是 submit 一个 HTML Form 的结果，
那么 Message Body 为 HTML Form 里面定义的 Input 属性。例如，
user=guest
password=guest
jsessionid=1001
主意，如果把 HTML Form 元素的 Method 属性改为 GET。那么，Message Body 为空，所有的 Input 属性都会加在 URL 的后面。你在浏览器的 URL 地址栏中会看到这些属性，类似于
http://www.fastfish/login.do?user=guest&password=guest&jsessionid=1001

从理论上来说，这 3 个部分（Request URL，Cookie Header, Message Body）都可以用来存放 Session ID。由于 Message Body 方法必须需要一个包含 Session ID 的 HTML Form，所以这种方法不通用。
一般用来实现 Session 的方法有两种：
（1）URL 重写。
Web Server 在返回 Response 的时候，检查页面中所有的 URL，包括所有的连接，和 HTML Form 的 Action 属性，在这些 URL 后面加上“;jsessionid=XXX”。
下一次，用户访问这个页面中的 URL。jsessionid 就会传回到 Web Server。
（2）Cookie。
如果客户端支持 Cookie，Web Server 在返回 Response 的时候，在 Response 的 Header 部分，加入一个“set-cookie: jsessionid=XXXX”header 属性，把 jsessionid 放在 Cookie 里传到客户端。
客户端会把 Cookie 存放在本地文件里，下一次访问 Web Server 的时候，再把 Cookie 的信息放到 HTTP Request 的“Cookie”header 属性里面，这样 jsessionid 就随着 HTTP Request 返回给 Web Server。

我们来看 Tomcat5 的源代码如何支持 jsessionid。
org.apache.coyote.tomcat5.CoyoteResponse 类的 toEncoded()方法支持 URL 重写。
String toEncoded(String url, String sessionId) {
…
StringBuffer sb = new StringBuffer(path);
if( sb.length() > 0 ) { // jsessionid can't be first.
sb.append(";jsessionid=");
sb.append(sessionId);
}
sb.append(anchor);
sb.append(query);
return (sb.toString());
}
我们来看 org.apache.coyote.tomcat5.CoyoteRequest 的两个方法 configureSessionCookie()
doGetSession()用 Cookie 支持 jsessionid.
/**

• Configures the given JSESSIONID cookie.
• @param cookie The JSESSIONID cookie to be configured
  */
  protected void configureSessionCookie(Cookie cookie) {
  …
  }

HttpSession doGetSession(boolean create){
…
// Creating a new session cookie based on that session
if ((session != null) && (getContext() != null)
&& getContext().getCookies()) {
Cookie cookie = new Cookie(Globals.SESSION_COOKIE_NAME,
session.getId());
configureSessionCookie(cookie);
((HttpServletResponse) response).addCookie(cookie);
}
…
}
Session 的典型应用是存放用户的 Login 信息，如用户名，密码，权限角色等信息，应用程序（如 Email 服务、网上银行等系统）根据这些信息进行身份验证和权限验证

1：Session 对象在浏览器中的有效范围：
IE 中:
1〉.Session 对象只在建立 Session 对象的窗口中有效。
2〉.在建立 Session 对象的窗口中新开链接的窗口也有效。
Session 只会在内存中，他会随着 IE 窗口的关闭而死亡。
也就是说单用 seesion 是不会有产生自动登入的效果的。
2：Cookie 是在服务器给客户端 IE 一个命令后在客户端产生并存的，
它可以存放用户信息，存到客户端硬盘上，在 COOKIE 记录被删除
或者失效日期之前，就可以实现自动登入的现象。
3：Session 和 Cookie 是不同的，但是他们确实是相关的。
当打开 IE 登入后，会向服务器发出一个指令请求 SESSIONID 以
及页面内容，服务器会返回页面内容和一个没有被使用的
SESSIONID 让此 IE 使用，当时 IE 就对返回 SESSIONID 做存储；而当此 IE 再访问任何这个站点的 JSP 程序的时候,都会给服务器这个 SESSIONID，来确认客户端的身份。（在没有 Cookie 的情况下 session 死亡 SESSIONID 被取消就需要重新登入）
4：可以通过客户端禁用和不禁用 cookie 来验证自己的说法。