HttpSession工作原理簡介

HTTP協議（http://www.w3.org/Protocols/）是“一次性單向”協議。 
服務端不能主動連線客戶端，只能被動等待並答覆客戶端請求。客戶端連線服務端，發出一個HTTP Request，服務端處理請求，並且返回一個HTTP Response給客戶端，本次HTTP Request-Response Cycle結束。 
我們看到，HTTP協議本身並不能支援服務端儲存客戶端的狀態資訊。於是，Web Server中引入了session的概念，用來儲存客戶端的狀態資訊。 
這裡用一個形象的比喻來解釋session的工作方式。假設Web Server是一個商場的存包處，HTTP Request是一個顧客，第一次來到存包處，管理員把顧客的物品存放在某一個櫃子裡面（這個櫃子就相當於Session），然後把一個號碼牌交給這個顧 客，作為取包憑證（這個號碼牌就是Session ID）。顧客（HTTP Request）下一次來的時候，就要把號碼牌（Session ID）交給存包處（Web Server）的管理員。管理員根據號碼牌（Session ID）找到相應的櫃子（Session），根據顧客（HTTP Request）的請求，Web Server可以取出、更換、新增櫃子（Session）中的物品，Web Server也可以讓顧客（HTTP Request）的號碼牌和號碼牌對應的櫃子（Session）失效。顧客（HTTP Request）的忘性很大，管理員在顧客回去的時候（HTTP Response）都要重新提醒顧客記住自己的號碼牌（Session ID）。這樣，顧客（HTTP Request）下次來的時候，就又帶著號碼牌回來了。 
我們可以看到，Session ID實際上是在客戶端和服務端之間通過HTTP Request和HTTP Response傳來傳去的。 

我們看到，號碼牌（Session ID）必須包含在HTTP Request裡面。關於HTTP Request的具體格式，請參見HTTP協議（http://www.w3.org/Protocols/）。這裡只做一個簡單的介紹。 
在Java Web Server（即Servlet/JSP Server）中，Session ID用jsessionid表示（請參見Servlet規範）。 
HTTP Request一般由3部分組成： 
（1）Request Line 
這一行由HTTP Method（如GET或POST）、URL、和HTTP版本號組成。 
例如，GET http://www.w3.org/pub/WWW/TheProject.html HTTP/1.1 
GET http://www.google.com/search?q=Tomcat HTTP/1.1 
POST http://www.google.com/search HTTP/1.1 
GET http://www.somsite.com/menu.do;jsessionid=1001 HTTP/1.1 

（2）Request Headers 
這部分定義了一些重要的頭部資訊，如，瀏覽器的種類，語言，型別。Request Headers中還可以包括Cookie的定義。例如： 
User-Agent: Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.0) 
Accept-Language: en-us 
Cookie: jsessionid=1001 

（3）Message Body 
如果HTTP Method是GET，那麼Message Body為空。 
如果HTTP Method是POST，說明這個HTTP Request是submit一個HTML Form的結果， 
那麼Message Body為HTML Form裡面定義的Input屬性。例如， 
user=guest 
password=guest 
jsessionid=1001 
主意，如果把HTML Form元素的Method屬性改為GET。那麼，Message Body為空，所有的Input屬性都會加在URL的後面。你在瀏覽器的URL位址列中會看到這些屬性，類似於 
http://www.somesite/login.do?user=guest&password=guest&jsessionid=1001 

從理論上來說，這3個部分（Request URL，Cookie Header, Message Body）都可以用來存放Session ID。由於Message Body方法必須需要一個包含Session ID的HTML Form，所以這種方法不通用。 
一般用來實現Session的方法有兩種： 
（1）URL重寫。 
Web Server在返回Response的時候，檢查頁面中所有的URL，包括所有的連線，和HTML Form的Action屬性，在這些URL後面加上“;jsessionid=XXX”。 
下一次，使用者訪問這個頁面中的URL。jsessionid就會傳回到Web Server。 
（2）Cookie。 
如果客戶端支援Cookie，Web Server在返回Response的時候，在Response的Header部分，加入一個“set-cookie: jsessionid=XXXX”header屬性，把jsessionid放在Cookie裡傳到客戶端。 
客戶端會把Cookie存放在本地檔案裡，下一次訪問Web Server的時候，再把Cookie的資訊放到HTTP Request的“Cookie”header屬性裡面，這樣jsessionid就隨著HTTP Request返回給Web Server。

=======================================================================

一個session就是一系列某使用者和伺服器間的通訊。伺服器有能力分辨出不同的使用者。一個session的建立是從一個使用者向伺服器發第一個請求開始，而以使用者顯式結束或session超時為結束。
其工作原理是這樣的：
1.當一個使用者向伺服器傳送第一個請求時，伺服器為其建立一個session，併為此session建立一個標識號；
2.這個使用者隨後的所有請求都應包括這個標識號。伺服器會校對這個標識號以判斷請求屬於哪個session。
這種機制不使用IP作為標識，是因為很多機器是通過代理伺服器方式上網，沒法區分每一臺機器。
對於session標識號（sessionID），有兩種方式實現：cookies和URL重寫。

HttpSession的使用
我們來看看在API中對session是如何定義和操作的。
當需要為使用者端建立一個session時，servlet容器就建立了一個HttpSession物件。其中儲存了和本session相關的資訊。所以，在一個servlet中有多少個不同使用者連線，就會有多少個HttpSession物件。
使用的機理是：
1.從請求中提取HttpSession物件；
2.增加或刪除HttpSession中的屬性；
3.根據需要關閉HttpSession或使其失效。

在請求中有兩個過載的方法用來獲取HttpSession物件。
HttpSession getSession(boolean create)/getSession();作用是提取HttpSession物件，如果沒有自動建立。

獲取到HttpSession物件後，我們就需要使用HttpSession的某些方法去設定和更改某些引數了。如：
void setAttribute(String name, Object value);
Object getAttribute(String name);
void removeAttribute(String name);

在javax.servlet.http包裡一共定義了四個session監聽器介面和與之關聯的兩個session事件。分別是：
HttpSessionAttributeListener and HttpSessionBindingEvent;
HttpSessionBindingListener and HttpSessionBindingEvent;

HttpSessionListener and HttpSessionEvent;
HttpSessionActivationListener and HttpSessionEvent.

他們的繼承關係是：
所有四個介面的父類是java.util.EventListener;
HttpSessionEvent擴充套件java.util.EventObject;
而HttpSessionBindingEvent又擴充套件了HttpSessionEvent。

以下分別詳述：
HttpSessionAttributeListener
當session中的屬性被新增，更改，刪除時得到通知。這個介面上節講過，主要看其它三個。

HttpSessionBindingListener
當一個實現了HttpSessionBindingListener的類被加入到HttpSession中（或從中移出）時，會產生HttpBindingEvent事件，而這些事件會被它本身接收到。
本介面定義了兩個方法：
void valueBound(HttpSessionBindingEvent e);
void valueUnbound(HttpSessionBindingEvent e);
當多個實現了HttpSessionBindingListener的類被加入到HttpSession中時，各類的方法只對本類感興趣，不會去理會其它類的加入。
即使是同一類的不同例項間，也是互不關心的（各掃門前雪）。

我們可以看到前兩個介面都對HttpSessionBindingEvent事件做出反應，但機理不同。
HttpSessionAttributeListener是在web.xml中登記的，servlet容器僅建立一個例項，來為任何在session中增加屬性的servlet服務。觸發事件的物件是所有可以轉換為Object的例項。
HttpSessionBindingListener不用在web.xml中登記，在每個servlet中用new建立例項，且僅對本例項向session中的加入（或移出）感興趣。觸發事件的物件僅僅是自己。

HttpSessionListener
對於session的建立和取消感興趣。需要在web.xml中登記。
共有兩個方法：
void sessionCreated(HttpSessionEvent se);
void sessionDestroyed(HttpSessionEvent se);
使用它我們可以容易的建立一個類來對session計數。
也許我們會簡單的考慮使用sessionDestroyed方法來在session結束後做一些清理工作。但是，請注意，當這個方法被呼叫的時候，session已經結束了，你不能從中提取到任何資訊了。因此，我們要另闢蹊徑。
一種通常採用的方法是使用HttpSessionBindingListener介面。在session建立時增加一個屬性，而在session結束前最 後一件事將這個屬性刪除，這樣就會觸發valueUnbound方法，所有對session的清理工作可以在這個方法中實現。

HttpSessionActivationListener
當session在分散式環境中跨JVM時，實現該介面的物件得到通知。共兩個方法：
void sessionDidActivate(HttpSessionEvent se);
void sessionWillPassivate(HttpSessionEvent se);