Cookie和Session的作用和工作原理
token和cookie、session的区别
token和cookie、session的区别
1、session是有服务器⽣成，暂时保存在服务器上对客户端进⾏识别的会话⾝份标识，链接断开则session注销。
2、cookie是储存在客户端上，在于服务器交互的时候⽤于认证的类似于⾝份证的标识，链接断开则服务器上的cookie注销。
3、token是服务器⽣成，⽤于简化服务器进⾏客户端⽤户密码对⽐的根据⽤户信息数据库的密码⽤户名来⽣成的长时间标识（⽤于减轻服务器每次都需要逐个对⽐数据库中⽤户名和密码的负担），储存在服务器上，链接断开，token继续储存在服务器上。
之间的关系：session⼀般是基于cookie⽣成，token可以包含在cookie中，token可以绑定在session中
作⽤：将token绑定在session中，在交互是对⽐token是否为session中的token可避免⼤多数逻辑漏洞以及csrf等。
JAVAWEB面试题（含答案）
1、jsp和servlet的区别、共同点、各自应用的范围？？JSP是Servlet技术的扩展，本质上就是Servlet的简易方式。
JSP编译后是“类servlet”。
Servlet和JSP最主要的不同点在于，Servlet的应用逻辑是在Java文件中，并且完全从表示层中的HTML里分离开来。
而JSP的情况是Java和HTML可以组合成一个扩展名为.jsp的文件。
JSP侧重于视图，Servlet主要用于控制逻辑。
在struts框架中,JSP位于MVC设计模式的视图层,而Servlet位于控制层.2、cookie和session的作用、区别、应用范围，session的工作原理Cookie:主要用在保存客户端，其值在客户端与服务端之间传送，不安全，存储的数据量有限。
Session:保存在服务端，每一个session在服务端有一个sessionID作一个标识。
存储的数据量大，安全性高。
占用服务端的内存资源。
3、jstl是什么？优点有哪些？？JSTL（JSP Standard Tag Library，JSP标准标签库)是一个不断完善的开放源代码的JSP标签库，由四个定制标记库（core、format、xml和sql）和一对通用标记库验证器（ScriptFreeTLV和PermittedTaglibsTLV）组成。
优点有：最大程序地提高了WEB应用在各应用服务器在应用程序服务器之间提供了一致的接口，最大程序地提高了1、在应用程序服务器之间提供了一致的接口，之间的移植。
2、简化了JSP和WEB应用程序的开发。
3、以一种统一的方式减少了JSP中的scriptlet代码数量，可以达到没有任何scriptlet 代码的程序。
在我们公司的项目中是不允许有任何的scriptlet代码出现在JSP中。
4、允许JSP设计工具与WEB应用程序开发的进一步集成。
相信不久就会有支持JSTL的IDE 开发工具出现。
4、j2ee的优越性主要表现在哪些方面？MVC模式a、J2EE基于JAVA技术，与平台无关b、J2EE拥有开放标准，许多大型公司实现了对该规范支持的应用服务器。
cookie和session的作用及其区别
session机制是一种服务器端的机制，服务器使用一种类似
于散列表的结构(也可能就是使用散列表)来保存信息。
但程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端的请求里是否包含了一个session标识－称为session id,如果已经包含一个session id则说明以前已经为此客户创建过session，服务器就按照session id把这个session检索出来使用(如果检索不到，可能会新建一个，这种情况可能出现在服务端已经删除了该用户对应的session对象，但用户人为地在请求的URL后面附加上一个JSESSION的参数)。
调用logOut，将客户从Web服务器中注销，同时废弃所有与该用户相关联的会话(每个Web应用至多一个)。这个操作有可能影响到服务器上多个不同的Web应用。
二十三、使用isNew来判断用户是否为新旧用户的错误做法
public boolean isNew()方法如果会话尚未和客户程序(浏览器)发生任何联系，则这个方法返回true，这一般是因为会话是新建的，不是由输入的客户请求所引起的。
为存储下来的链接含有错误的标识信息－该URL后面的SESSION ID已经过期了。
十七、使用隐藏的表单域有什么缺点
仅当每个页面都是有表单提交而动态生成时，才能使用这种方法。单击常规的超文本链接并不产生表单提交，因此隐藏的表单域不能支持通常的会话跟踪，只能用于一系列特定的操作中，比如在线商店的结账过程
六、cookie的读取
1.调用request.getCookie
要获取有浏览器发送来的cookie，需要调用HttpServletRequest的getCookies方法，这个调用返回Cookie对象的数组，对应由HTTP请求中Cookie报头输入的值。
session的理解
session的理解session是一种用于在Web应用程序中跟踪用户状态的机制。
在Web开发中，HTTP协议是无状态的，也就是说服务器无法直接区分不同用户的身份，每一次请求都是独立的。
然而，实际上经常需要区分用户身份，跟踪用户状态，记录用户行为等，这就需要使用session。
简单来说，session是在服务器端存储用户相关信息的一种机制。
当用户首次访问网站时，服务器会为该用户创建一个唯一标识的session ID，并将该ID发送到用户的浏览器端。
用户在后续的请求中，浏览器会通过发送Cookie携带session ID，从而让服务器能够识别该用户。
服务器可以根据session ID获取与该用户相关联的信息，并在处理请求时使用这些信息。
session的理解可以从以下几个方面展开：1. 创建和维护session：服务器端负责创建和维护session，通常使用一个唯一标识符来表示session，被称为session ID。
session ID可以通过Cookie发送到客户端，并在后续的请求中被客户端携带。
当用户首次访问网站时，服务器会为该用户创建一个新的session，生成一个唯一的session ID，并将其发送给客户端。
2. session与Cookie的关系：session通常依赖于Cookie来传递session ID。
服务器在响应中设置一个名为"session ID"的Cookie，并将其值设置为当前用户的session ID。
客户端在后续的请求中会自动携带该Cookie，服务器可以通过解析Cookie获取session ID，从而找到对应的session。
3. session存储方式：session数据可以存储在服务器端的内存、文件系统、数据库等不同的存储介质中。
常见的方式包括内存存储、文件存储和数据库存储。
不同的存储方式具有不同的优缺点，根据实际需求选择合适的存储方式。
session、cookie、token的区别及联系
session、cookie、token的区别及联系sessionsession的中⽂翻译是“会话”，当⽤户打开某个web应⽤时，便与web服务器产⽣⼀次session。
服务器使⽤session把⽤户的信息临时保存在了服务器上，⽤户离开⽹站后session会被销毁。
这种⽤户信息存储⽅式相对cookie来说更安全，可是session有⼀个缺陷：如果web服务器做了负载均衡，那么下⼀个操作请求到了另⼀台服务器的时候session会丢失。
cookiecookie是保存在本地终端的数据。
cookie由服务器⽣成，发送给浏览器，浏览器把cookie以kv形式保存到某个⽬录下的⽂本⽂件内，下⼀次请求同⼀⽹站时会把该cookie发送给服务器。
由于cookie是存在客户端上的，所以浏览器加⼊了⼀些限制确保cookie不会被恶意使⽤，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。
cookie的组成有：名称(key)、值(value)、有效域(domain)、路径(域的路径，⼀般设置为全局:"\")、失效时间、安全标志(指定后，cookie 只有在使⽤SSL连接时才发送到服务器(https))。
下⾯是⼀个简单的js使⽤cookie的例⼦:⽤户登录时产⽣cookie:document.cookie = "id="+result.data['id']+"; path=/";document.cookie = "name="+result.data['name']+"; path=/";document.cookie = "avatar="+result.data['avatar']+"; path=/";使⽤到cookie时做如下解析：var cookie = document.cookie;var cookieArr = cookie.split(";");var user_info = {};for(var i = 0; i < cookieArr.length; i++) {user_info[cookieArr[i].split("=")[0]] = cookieArr[i].split("=")[1];}$('#user_name').text(user_info[' name']);$('#user_avatar').attr("src", user_info[' avatar']);$('#user_id').val(user_info[' id']);tokentoken的意思是“令牌”，是⽤户⾝份的验证⽅式，最简单的token组成:uid(⽤户唯⼀的⾝份标识)、time(当前时间的时间戳)、sign(签名，由token的前⼏位+盐以哈希算法压缩成⼀定长的⼗六进制字符串，可以防⽌恶意第三⽅拼接token请求服务器)。
cookie面试题
cookie面试题一、什么是Cookie面试题Cookie面试题是指在招聘过程中常见的与Cookie相关的问题，用于测试候选人对于Cookie的理解和应用能力。
在一些技术岗位的面试中，经常会出现与Cookie有关的面试题，因为Cookie是Web开发中非常重要的概念之一。
二、Cookie面试题的分类根据Cookie的特性和应用场景，Cookie面试题可以分为以下几类：1. 什么是Cookie？这类问题是对候选人对Cookie基本概念的了解进行考察，通常会涉及Cookie的定义、作用、存储方式等。
2. Cookie的工作原理是什么？这类问题是对候选人对Cookie实现原理的掌握程度进行考察，通常会涉及Cookie的生成、发送、存储和读取过程。
3. Cookie和Session的区别是什么？这类问题是对候选人对Cookie和Session的了解程度进行考察，通常会比较Cookie和Session在存储方式、有效期、安全性等方面的区别。
4. 如何使用Cookie实现用户登录状态的保持？这类问题是对候选人对Cookie在用户登录状态保持方面的应用能力进行考察，通常候选人需要介绍使用Cookie来实现用户登录状态保持的步骤和原理。
5. 如何解决Cookie跨域问题？这类问题是对候选人对Cookie跨域访问限制的理解和解决方案的能力进行考察，通常候选人需要介绍跨域访问限制的原因和解决方案。
三、如何准备Cookie面试题准备Cookie面试题需要注意以下几点：1. 对Cookie的基本概念和工作原理进行充分了解在面试前，候选人应该对Cookie的定义、作用、存储方式、工作原理等基本概念进行充分了解，并能够清楚地表达出来。
2. 理解Cookie与Session的区别Cookie和Session是Web开发中常用的会话管理机制，候选人应该清楚它们的区别并能够简明扼要地解释出来。
3. 掌握Cookie的应用场景和常见问题除了基本概念和工作原理，候选人还应该关注Cookie在实际开发中的应用场景和常见问题，例如如何保证Cookie的安全性、如何处理Cookie过期等。
浅谈Session机制与Cookie机制
般情况下 ，登录一个 网站时 ，通 常被要求 输入用户 名
和密 码 ，之后 再 进 入 相 关 网 页 就 可 以 畅通 无 阻 ，这 是 什 么 原
以上就是 Ｃ ｏ ｉ ｏｋｅ的基本工作原理 。
因呢 ，很多用户并不太清楚 。 这是 因为用户 的信息 被存 储 了 ，那用 户信 息被 谁存储 ， 又被存储 在哪 里了 呢？它 可能 被 Ｓｓｉ ｅｓ ｎ存 储 ，也 可能 是被 ｏ
【 ｅ ｏｄ 】 ｏｋｅｍ ｃａ ｉ Ｓｓｉｎｍ ｃ ａｉ ； ｅｖｒｂｏ ｓｒ Ｋ ｙｗ ｒ ｓ Ｃ ｉ ｅｈｎｓ ｍ； ｅｓ ｅｈ ｓ ｓｒｅ； ｒ ｅ ｏ ｎ ｍ ｗ
１ 引言
一
能会 向用户浏览器发送一个 Ｃ ｏ ｉ，而浏览器会将这些 Ｃ ｏ— ｏｋｅ ｏｋ
ｉ分别保存 。 ｅ
２ Ｓ ｓｉ ｅｓ ｎ与 Ｃ ｏ ｉ ｏ ｏｋｅ
２１什 么是 Ｓ ｓｏ ． ｅｓ ｎ ｉ
Ｓｓｉ ｅｓ ｎ用 中文来解 释就是会话期 。一个会 话期开 始于用 ｏ 户输入一个站点的网址时 ，结束于离开这个站点时 。
Ｓ ｓｉ ｅｓ ｎ在 Ｗｅ 技 术 中 占有 非 常 重要 的份 量 。 由于 网页 是 ｏ ｂ
一
状态 的解决方 案。 同时我们 也看到 ，由于采 用服务器端 保持
状态的方案在客户端也需要保存一个标识 ，所 以 Ｓ ｓ ｏ ｅｓ ｎ机制 ｉ 可能需要借助于 Ｃ ｏ ｉ ｏｋｅ机制来达到保存标识 的 目的。而 Ｓ ｓ ｅ— ｓ ｎ提供了方便管理全局 变量 的方式。 ｉ ｏ Ｓ ｓ ｏ 是针对每一个用户的 ，变量的值保存在服务器上 ， ｅｓ ｎ ｉ
Ｗｅ ｂ服务 器提 供要求时作确认 。例如 ，在某些 网站 中常常要
求用户登录 ， 但 怎么知道用户已经登录了呢 ，如果没有 Ｓ ｓ ｅ— ｓ ｎ的话 ，登 录信息是无法保 留的 ，那 岂不要让用户在每一页 ｉ ｏ 网页中都要提供用户名和密码 ？
session的机制(转载)
1.Session由于HTTP协议连接的无状态性，才使得session的不得已而产生。
既然Web应用并不了解有关同一用户以前请求的信息，那么解决这个问题的一个办法是使用Servlet/JSP容器提供的会话跟踪功能，Servlet API规范定义了一个简单的HttpSession接口，通过它我们可以方便地实现会话跟踪。
HttpSession接口提供了存储和返回标准会话属性的方法。
标准会话属性如会话标识符、应用数据等，都以“名字-值”对的形式保存在服务器端。
也就是说，HttpSession接口提供了一种把对象保存到内存、在同一用户的后继请求中提取这些对象的标准办法。
在会话中保存数据的方法是setAttribute(String s, Object o)，从会话提取原来所保存对象的方法是getAttribute(String s)。
在服务器端，每当新用户请求了一个使用HttpSession对象的JSP页面，Servlet、JSP容器除了发回应答页面外，它还要以cookie的形式向浏览器发送一个特殊数字，即“绘画标识符”，它是一个唯一的用户标示符，浏览器在请求session时，服务器会先得到它的sessionId，在做处理。
会话标识符以Cookie的形式在服务器和浏览器组件传送，标准会话属性在服务器端也是以会话的形式存在，并且这个Cookie的生命周期只是临时的，即会话结束后就自动消失，没有为它指定固定的生命周期，因此可以说session是基于Cookie的技术。
另外，如果客户端不支持Cookie，运用URL重写机制来保证会话标识回服务器。
2.session机制的实现：(1.)session机制是一种服务器端的机制，用来在无状态的HTTP协议下越过多个请求页面来维持状态和识别用户。
当程序需要为某个客户端的请求创建一个session的时候，服务器首先检查这个客户端的请求里是否已包含了一个session标识。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、Cookie详解
（1）简介
因为HTTP协议是无状态的，即服务器不知道用户上一次做了什么，这严重阻碍了交互式Web应用程序的实现。
在典型的网上购物场景中，用户浏览了几个页面，买了一盒饼干和两饮料。
最后结帐时，由于HTTP的无状态性，不通过额外的手段，服务器并不知道用户到底买了什么。
为了做到这点，就需要使用到Cookie了。
服务器可以设置或读取Cook ies中包含信息，借此维护用户跟服务器会话中的状态。
Cookie（复数形态：Cookies），是指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据（通常经过加密）。
Cookie是由服务端生成的，发送给客户端（通常是浏览器）的。
Cookie总是保存在客户端中，按在客户端中的存储位置，可分为内存Cookie和硬盘Cookie：
内存Cookie由浏览器维护，保存在内存中，浏览器关闭后就消失了，其存在时间是短暂的。
硬盘Cookie保存在硬盘里，有一个过期时间，除非用户手工清理或到了过期时间，硬盘Cookie不会被删除，其存在时间是长期的。
所以，按存在时间，可分为非持久Cookie和持久Cookie。
（2）工作原理
1、创建Cookie
当用户第一次浏览某个使用Cookie的网站时，该网站的服务器就进行如下工作：
①该用户生成一个唯一的识别码（Cookie id），创建一个Cookie对象；
②默认情况下它是一个会话级别的cookie，存储在浏览器的内存中，用户退出浏览器之后被删除。
如果网站希望浏览器将该Cookie存储在磁盘上，则需要设置最大时效（maxAge），并给出一个以秒为单位的时间（将最大时效设为0则是命令浏览器删除该Cookie）；
③将Cookie放入到HTTP响应报头，将Cookie插入到一个Set-Cookie HTTP请求报头中。
④发送该HTTP响应报文。
2、设置存储Cookie
浏览器收到该响应报文之后，根据报文头里的Set-Cookied特殊的指示，生成相应的Cookie，保存在客户端。
该Cook ie里面记录着用户当前的信息。
3、发送Cookie
当用户再次访问该网站时，浏览器首先检查所有存储的Cookies，如果某个存在该网站的Cookie（即该Cookie所声明的作用范围大于等于将要请求的资源），则把该cookie附在请求资源的HTTP请求头上发送给服务器。
4、读取Cookie
服务器接收到用户的HTTP请求报文之后，从报文头获取到该用户的Cookie，从里面找到所需要的东西。
（3）作用
Cookie的根本作用就是在客户端存储用户访问网站的一些信息。
典型的应用有：
1、记住密码，下次自动登录。
2、购物车功能。
3、记录用户浏览数据，进行商品（广告）推荐。
（4）缺陷
①Cookie会被附加在每个HTTP请求中，所以无形中增加了流量。
②由于在HTTP请求中的Cookie是明文传递的，所以安全性成问题。
（除非用HTTPS）
③Cookie的大小限制在4KB左右。
对于复杂的存储需求来说是不够用的。
二、Session详解
（1）简介
Session代表服务器与浏览器的一次会话过程，这个过程是连续的，也可以时断时续的。
Session是一种服务器端的机制，Session 对象用来存储特定用户会话所需的信息。
Session由服务端生成，保存在服务器的内存、缓存、硬盘或数据库中。
（2）工作原理
1、创建Session
当用户访问到一个服务器，如果服务器启用Session，服务器就要为该用户创建一个SESSION，在创建这个SESSION 的时候，服务器首先检查这个用户发来的请求里是否包含了一个SESSION ID，如果包含了一个SESSION ID则说明之前该用户已经登陆过并为此用户创建过SESSION，那服务器就按照这个SESSION ID把这个SESSION在服务器的内存中查找出来（如果查找不到，就有可能为他新创建一个），如果客户端请求里不包含有SESSION ID，则为该客户端创建一个SESSION并生成一个与此SESSION相关的SESSION ID。
这个SESSION ID是唯一的、不重复的、不容易找到规律的字符串，这个SESSION ID将被在本次响应中返回到客户端保存，而保存这个SESSION ID的正是COO KIE，这样在交互过程中浏览器可以自动的按照规则把这个标识发送给服务器。
2、使用Session
我们知道在IE中，我们可以在工具的Internet选项中把Cookie禁止，那么会不会出现把客户端的Cookie禁止了，那么SESSIONID就无法再用了呢？找了一些资料说明，可以有其他机制在COOKIE被禁止时仍然能够把Session id传递回服务器。
经常被使用的一种技术叫做URL重写，就是把Session id直接附加在URL路径的后面一种是作为URL路径的附加信息,表现形式为：
http://…./xxx;jSession=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764；
另一种是作为查询字符串附加在URL后面，表现形式为：
http://…../xxx?jSession=ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764
还有一种就是表单隐藏字段。
就是服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时能够把Session id传递回服务器。
（3）作用
Session的根本作用就是在服务端存储用户和服务器会话的一些信息。
典型的应用有：
1、判断用户是否登录。
2、购物车功能。
三、Cookie和Session的区别
1、存放位置不同
Cookie保存在客户端，Session保存在服务端。
2 、存取方式的不同
Cookie中只能保管ASCII字符串，假如需求存取Unicode字符或者二进制数据，需求先进行编码。
Cookie中也不能直接存取Java对象。
若要存储略微复杂的信息，运用Cookie是比拟艰难的。
而Session中能够存取任何类型的数据，包括而不限于String、Integer、List、Map等。
Session中也能够直接保管Java Bean乃至任何Java类，对象等，运用起来十分便当。
能够把Session看做是一个Java容器类。
3、安全性（隐私策略）的不同
Cookie存储在浏览器中，对客户端是可见的，客户端的一些程序可能会窥探、复制以至修正Cookie中的内容。
而Session存储在服务器上，对客户端是透明的，不存在敏感信息泄露的风险。
假如选用Cookie，比较好的方法是，敏感的信息如账号密码等尽量不要写到Cookie中。
最好是像Google、Baidu那样将Cookie信息加密，提交到服务器后再进行解密，保证Cookie中的信息只要本人能读得懂。
而假如选择Session就省事多了，反正是放在服务器上，Se ssion里任何隐私都能够有效的保护。
4、有效期上的不同
只需要设置Cookie的过期时间属性为一个很大很大的数字，Cookie就可以在浏览器保存很长时间。
由于Sessi on依赖于名为JSESSIONID的Cookie，而Cookie JSESSIONID的过期时间默许为–1，只需关闭了浏览器（一次会话结束），该Session就会失效。