深度解析 JSP 中 Session 機制：從概念到 HttpSession 實戰

Session 一詞的多重語義

「Session」是計算機科學中最容易產生歧義的詞彙之一，按上下文至少有六種含義：

1. 瀏覽器會話期：從瀏覽器視窗開啟到關閉的時間段。
2. 用戶業務會話：如「登錄→選購→結帳→登出」完整業務流程，常稱 Transaction。
3. 網絡協議會話：TCP Session、POP3 Session，隱含「面向連接」與「狀態保持」。
4. Web Session 機制：HTTP 無狀態協議下，在客戶端-伺服器間維持狀態的解決方案總稱。
5. Session 存儲結構：伺服器端保存用戶狀態的數據結構（如 Map<String, Object>）。
6. HttpSession 物件：Java Servlet 規範定義的標準 API (javax.servlet.http.HttpSession)。

本文聚焦於第 4、5、6 種含義。

Web Session 機制原理

1. Cookie 型 (標準)

• 伺服器創建 Session，生成唯一 JSESSIONID。
• 通過 Set-Cookie: JSESSIONID=xxx; Path=/ 發送給瀏覽器。
• 瀏覽器後續請求自動攜帶 Cookie，伺服器識別 Session。

2. URL 重寫 (無 Cookie 環境)

• 將 jsessionid 附加到所有 URL：/app/home;jsessionid=xxx。
• 需調用 response.encodeURL(url) / encodeRedirectURL(url) 自動處理。

3. SSL Session ID (少用)

利用 SSL 握手建立的 Session ID 作為識別符，安全性高但實現複雜。

HttpSession 核心 API 實戰

// 獲取 Session (true=不存在則創建，false=僅獲取)
HttpSession session = request.getSession(true);

// 存取屬性
session.setAttribute("user", userObj);
User user = (User) session.getAttribute("user");

// 移除屬性
session.removeAttribute("tempData");

// 設置超時 (秒)，負數表示永不超時
session.setMaxInactiveInterval(30 * 60); // 30 分鐘

// 獲取會話資訊
String id = session.getId();
long created = session.getCreationTime();
long lastAccessed = session.getLastAccessedTime();
boolean isNew = session.isNew();

// 手動銷毀 (登出)
session.invalidate();

常見坑與最佳實踐

Session 與 ThreadLocal 的區別

• Session：跨請求、跨線程、用戶級生命週期，數據共享。
• ThreadLocal：線程級隔離，請求結束自動銷毀，適合存放請求上下文（如事務管理器、當前用戶 ID）。

現代替代方案：JWT / Spring Session

• JWT (JSON Web Token)：無狀態，攜帶聲明，適合微服務、單點登錄，但無法主動失效、體積大。
• Spring Session：透過 Filter 代理 HttpSession，支援 Redis、JDBC、Hazelcast 等分布式存儲，零代碼遷移集群 Session。

總結

Session 是 HTTP 無狀態協議上的「狀態補丁」。理解其六重語義、掌握 Cookie/URL 重寫兩大傳輸機制、熟練 HttpSession API、警惕集群與洩漏陷阱，是 Java Web 開發者的必修課。現代架構傾向「無狀態服務 + 分布式 Session / Token」，但 Session 思維仍是基石。