Java Web 會話管理：Cookie 與 HttpSession 完整應用指南

Java Web 會話管理核心技術解析

在 Java Web 開發中，會話管理是實現用戶狀態追蹤的關鍵機制。主要分為兩大技術體系：Cookie（客戶端存儲）與 HttpSession（服務端存儲）。兩者各有優劣，適用場景不同，掌握其核心原理與應用細節，對於構建安全、高效的 Web 應用至關重要。

一、Cookie 技術深度解析

1. Cookie 核心 API

Cookie 類用於封裝會話數據，主要操作包括：

• 構造對象：new Cookie(String name, String value)
• 設置屬性：
  • setPath(String uri)：定義 Cookie 的有效訪問路徑
  • setMaxAge(int expiry)：設置生存時間（秒）
  • setValue(String newValue)：更新 Cookie 值
• 發送與接收：
  • response.addCookie(Cookie cookie)：將 Cookie 寫入響應頭
  • request.getCookies()：從請求頭獲取 Cookie 數組

2. Cookie 工作原理

1. 服務端創建 Cookie 對象，封裝會話數據
2. 通過 Set-Cookie 響應頭發送給瀏覽器
3. 瀏覽器在本地存儲（內存或硬盤）
4. 後續請求自動攜帶 Cookie 請求頭
5. 服務端解析請求頭獲取會話數據

3. 關鍵細節與限制

• 路徑控制：setPath("/test") 表示僅在 /test 路徑下攜帶 Cookie
• 生命周期：
  • 正整數：持久化到硬盤，單位為秒
  • 負整數：會話級，瀏覽器關閉即銷毀（默認）
  • 零：刪除同名 Cookie
• 存儲限制：單域名最多 20 個，總計 300 個，單個 4KB，僅支持非中文字符串

4. 實戰代碼示例

設置 Cookie

@WebServlet("/CookieDemo")
public class CookieDemo extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) 
            throws ServletException, IOException {
        Cookie cookie = new Cookie("name", "shutu008");
        cookie.setPath("/test");       // 指定有效路徑
        cookie.setMaxAge(1000);        // 1000 秒有效期
        response.addCookie(cookie);    // 發送至瀏覽器
    }
}

獲取 Cookie

@WebServlet("/CookieTest")
public class CookieTest extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) 
            throws ServletException, IOException {
        Cookie[] cookies = request.getCookies();
        if (cookies != null) {
            for (Cookie c : cookies) {
                response.getWriter().write(c.getName() + "=" + c.getValue() + "
");
            }
        }
    }
}

二、HttpSession 技術深度解析

1. HttpSession 核心 API

• 獲取 Session：
  • getSession() / getSession(true)：獲取或創建
  • getSession(false)：僅獲取，不存在返回 null
• 數據操作：
  • setAttribute(String name, Object value)
  • getAttribute(String name)
  • removeAttribute(String name)
• 生命周期控制：
  • setMaxInactiveInterval(int seconds)：設置超時時間（秒）
  • invalidate()：手動銷毀
  • getId()：獲取唯一標識 JSESSIONID

2. Session 識別原理

服務端為每個 Session 生成唯一 ID（JSESSIONID），默認通過 Cookie 交換：

• 首次訪問：服務端創建 Session，返回 Set-Cookie: JSESSIONID=xxx
• 後續訪問：瀏覽器自動攜帶 Cookie: JSESSIONID=xxx
• 服務端據此查找對應 Session 對象

不同瀏覽器/窗口持有不同 JSESSIONID，實現會話隔離。

3. 進階配置與優化

• 全局超時配置（web.xml）：

  <session-config>
      <session-timeout>30</session-timeout> <!-- 分鐘 -->
  </session-config>

• 解決瀏覽器關閉導致 JSESSIONID 丟失：手動發送持久化 Cookie

  Cookie c = new Cookie("JSESSIONID", session.getId());
  c.setMaxAge(60 * 60); // 1小時
  response.addCookie(c);

4. 實戰代碼示例

@WebServlet("/HttpSessionDemo")
public class HttpSessionDemo extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) 
            throws ServletException, IOException {
        response.setContentType("text/html;charset=UTF-8");
        HttpSession session = request.getSession();
        
        // 存儲數據
        session.setAttribute("name", "srv");
        session.setAttribute("phone", "051112345678");
        
        // 遍歷輸出
        Enumeration names = session.getAttributeNames();
        while (names.hasMoreElements()) {
            String name = names.nextElement();
            response.getWriter().write(name + "=" + session.getAttribute(name) + "
");
        }
        
        // 判斷新舊會話
        if (session.isNew()) {
            response.getWriter().write("新會話 ID: " + session.getId());
        } else {
            response.getWriter().write("現有會話 ID: " + session.getId());
        }
        
        session.setMaxInactiveInterval(60); // 1分鐘超時
    }
}

三、技術選型建議

最佳實踐：Session 存儲核心業務數據，Cookie 僅存儲 Session ID 或非敏感標識。生產環境建議結合 Redis 實現 Session 共享，支撐集群部署。