Web应用安全课件：HTTPSession.pptxVIP

HTTP Session HTTP Session Http Session 服务端的技术 服务器会为每一个用户 创建一个独立的Http Session Http Session原理 当用户第一次访问Servlet时,服务器端会给用户创建一个独立的Session 并且生成一个SessionID,这个SessionID在响应浏览器的时候会被装进cookie中,从而被保存到浏览器中 当用户再一次访问Servlet时,请求中会携带着cookie中的SessionID去访问 服务器会根据这个SessionID去查看是否有对应的Session对象 有就拿出来使用;没有就创建一个Session(相当于用户第一次访问) HTTP Session 域的范围: Context域 Session域 Request域 Session域 只要会话不结束就会存在 但是Session有默认的存活时间(30分钟) 需要注意的是，一个Session的概念需要包括特定的客户端，特定的服务器端以及不中断的操作时间。A用户和C服务器建立连接时所处的Session同B用户和C服务器建立连接时所处的Session是两个不同的Session。 当客户端第一次访问服务器的时候，此时客户端的请求中不携带任何标识给服务器，所以此时服务器无法找到与之对应的session，所以会新建session对象，当服务器进行响应的时候，服务器会将session标识放到响应头的Set-Cookie中，会以key-value的形式返回给客户端 例：JSESSIONID=7F149950097E7B5B41B390436497CD21；其中JSESSIONID是固定的，而后面的value值对应的则是给该客户端新创建的session的ID，之后浏览器再次进行服务器访问的时候，客户端会将此key-value放到cookie中一并请求服务器，服务器就会根据此ID寻找对应的session对象了；（当浏览器关闭后，会话结束，由于cookie消失所以对应的session对象标识消失，而对应的session依然存在，但已经成为报废数据等待GC回收了）对应session的ID可以利用此方法得到：session.getId(); 1、session进行身份验证的原理 HTTP Session 对上图的说明： client与server建立一个连接，这种连接是底层的 client发送request到server，等待server的answer server处理request，将处理结果返还给client，这个结果包括status code、其它data 2、client-server connection HTTP Session 一、什么时候创建Http Session 1）.对于JSP： 　　是否浏览器访问服务端的任何一个JSP或Servlet，服务器都会立即创建一个Http Session对象呢？ 不一定。 　　①.若当前的JSP或（Servlet）是客户端访问的当前WEB应用的第一个资源，且JSP的page指定的session属性为false，则服务器就不会为JSP创建一个Http Session对象； 　　②.若当前JSP不是客户端访问的当前WEB应用的第一个资源，且其他页面已经创建一个Http Session对象，则服务器也不会为当前JSP创建一个新的Http Session对象，而会把和当前会话关联的那个Http Session对象返回给当前的JSP页面。 3、Http Session生命周期 HTTP Session 2）.page指令的session=false到底表示什么意思：当前JSP页面禁用session隐含变量！但可以使用其他的显式的对象 3）.对于Servlet而言： 　　若Servlet是客户端访问的第一个WEB应用的资源，则只有调用了request.getSession()或request.getSession(true) 才会创建Http Session对象 4）. 在Servlet中如何获取Http Session对象？ 　　request.getSession(boolean create):create为false,若没有和当前JSP页面关联的Http Session对象,则返回null；若有返回true create为true一定返回一个HTTP Session对象。若没有和昂前JSP页面关联的Session对象，则服务器创建一个新的Session对象返回，若有，则直接返回关联。request.getSession()等同于request.getSession(true) 3、Http Session生命周期 HTTP Sess