Servlet如何实现会话管理

Servlet实现会话管理主要有以下几种方式：

1. 使用Cookie

• 原理：服务器通过HTTP响应头中的Set-Cookie字段将Cookie发送给客户端，客户端在后续请求中通过HTTP请求头中的Cookie字段将Cookie发送回服务器。
• 优点：简单易用，适用于大多数Web应用。
• 缺点：安全性较低，容易受到CSRF攻击；Cookie大小有限制（通常为4KB）。

示例代码：

// 设置Cookie
Cookie cookie = new Cookie("username", "JohnDoe");
cookie.setMaxAge(60 * 60 * 24); // 设置Cookie有效期为1天
response.addCookie(cookie);

// 获取Cookie
Cookie[] cookies = request.getCookies();
if (cookies != null) {
    for (Cookie c : cookies) {
        if ("username".equals(c.getName())) {
            String username = c.getValue();
            // 处理用户名
        }
    }
}

2. 使用Session

• 原理：服务器端创建一个Session对象，并将其唯一标识（Session ID）通过Cookie或URL重写的方式发送给客户端。客户端在后续请求中携带Session ID，服务器根据Session ID查找对应的Session对象。
• 优点：安全性较高，Session数据存储在服务器端，不易被篡改；Session ID可以设置有效期。
• 缺点：Session数据存储在服务器内存中，当并发量高时可能会占用大量内存。

示例代码：

// 创建Session
HttpSession session = request.getSession();

// 设置Session属性
session.setAttribute("username", "JohnDoe");

// 获取Session属性
String username = (String) session.getAttribute("username");

// 销毁Session
session.invalidate();

3. 使用URL重写

• 原理：当客户端禁用了Cookie时，可以通过URL重写的方式将Session ID附加到URL中。
• 优点：兼容性好，即使客户端禁用了Cookie也能使用Session。
• 缺点：安全性较低，Session ID暴露在URL中，容易受到CSRF攻击；URL长度有限制。

示例代码：

// 获取Session ID并重写URL
String sessionId = session.getId();
String url = response.encodeURL("yourServletURL");

// 在链接中使用重写的URL
<a href="<%= url %>">Link</a>

4. 使用Token（如JWT）

• 原理：服务器生成一个包含用户信息的Token（如JWT），并将其发送给客户端。客户端在后续请求中携带Token，服务器验证Token的有效性并提取用户信息。
• 优点：安全性较高，Token可以存储在客户端本地存储或Cookie中；Token可以跨域使用。
• 缺点：Token一旦签发，除非过期或被撤销，否则一直有效；Token大小可能较大。

示例代码：

// 生成JWT Token
String token = Jwts.builder()
    .setSubject("JohnDoe")
    .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 设置有效期为1小时
    .signWith(SignatureAlgorithm.HS256, "yourSecretKey")
    .compact();

// 将Token发送给客户端
response.addHeader("Authorization", "Bearer " + token);

// 验证Token
String token = request.getHeader("Authorization").replace("Bearer ", "");
Claims claims = Jwts.parser()
    .setSigningKey("yourSecretKey")
    .parseClaimsJws(token)
    .getBody();
String username = claims.getSubject();

总结

• Cookie：简单易用，适用于大多数场景。
• Session：安全性较高，适用于需要存储大量数据的场景。
• URL重写：兼容性好，适用于客户端禁用Cookie的场景。
• Token（如JWT）：安全性高，适用于需要跨域和分布式系统的场景。

选择合适的会话管理方式需要根据具体应用的需求和安全要求来决定。