JSP Session 內置對象完整指南：原理、用法與最佳實踐

Session 核心原理

Session 是伺服器為每個客戶端瀏覽器創建的會話上下文，生命週期默認 30 分鐘無活動後失效。本質是伺服器內存中的一個 Map，鍵為屬性名，值為任意對象。

識別機制

1. 首次訪問 → 伺服器生成唯一 JSESSIONID (UUID)
2. 通過 Cookie (默認) 或 URL 重寫 發送給瀏覽器
3. 後續請求攜帶 JSESSIONID，伺服器關聯對應 Session

JSP 中直接使用 session 內置對象

JSP 頁面無需聲明，直接使用 session 變量 (類型 HttpSession)。

核心 API 操作

典型應用場景

1. 用戶登錄狀態維持

<%-- login.jsp 驗證成功後 --%>
<%
    User user = userService.authenticate(username, password);
    if (user != null) {
        session.setAttribute("loginUser", user); // 存入用戶對象
        response.sendRedirect("index.jsp");
    } else {
        out.println("用戶名或密碼錯誤");
    }
%>

2. 權限攔截 (Filter / 頁面頂部)

<%-- 每個受保護頁面頂部 --%>
<%
    User user = (User) session.getAttribute("loginUser");
    if (user == null) {
        response.sendRedirect("login.jsp?redirect=" + URLEncoder.encode(request.getRequestURI(), "UTF-8"));
        return; // 停止執行後續頁面
    }
    // 可選：角色權限檢查
    if (!user.hasRole("ADMIN") && request.getRequestURI().contains("/admin/")) {
        response.sendError(403, "權限不足");
        return;
    }
%>

3. 購物車數據暫存

<%-- 添加商品到購物車 --%>
<%
    List cart = (List) session.getAttribute("cart");
    if (cart == null) {
        cart = new ArrayList<>();
        session.setAttribute("cart", cart);
    }
    // 添加或更新商品邏輯
    cart.add(new CartItem(productId, quantity));
%>

Session 配置與調優

1. 修改默認超時時間

方式一：web.xml (全局)

<session-config>
    <session-timeout>60</session-timeout> <!-- 分鐘 -->
</session-config>

方式二：代碼動態設置 (單個會話)

session.setMaxInactiveInterval(60 * 60); // 1 小時，單位秒

2. Session 持久化與集群同步

3. 內存洩漏防範

• 及時清理：業務結束調用 removeAttribute() 或 invalidate()
• 避免存放大對象：大文件、大集合改用臨時文件/數據庫，Session 只存引用 ID
• 監控指標：Session 活躍數、平均大小、GC 頻率

Servlet 中獲取 Session

// 獲取現有或創建新
HttpSession session = request.getSession(true);  // 等同 request.getSession()

// 僅獲取現有，不創建
HttpSession session = request.getSession(false);
if (session != null) {
    // 已有會話
}

安全最佳實踐

1. Cookie 安全屬性：Secure (僅 HTTPS)、HttpOnly (防 XSS)、SameSite=Strict/Lax (防 CSRF)
2. Session ID 重生成：登錄成功後調用 session.invalidate() 再 request.getSession(true) 防固定攻擊
3. 敏感數據加密：Session 中存儲 Token/權限而非明文密碼
4. 超時強制登出：前端定時輪詢 / 後端攔截器檢查 session.isNew() || session.getAttribute("user")==null

常見問題排查