What's session [转蝲]

Kerwin Weng — Sun, 16 Apr 2006 10:13:00 GMT

HTTP协议�Q?a >http://www.w3.org/Protocols/�Q�是“一�ơ性单向”协议�?
服务端不能主动连接客��L��Q�只能被动等待�ƈ�{�复客户端请求。客��L��q�接服务端，发出一个HTTP Request�Q�服务端处理��h��Q��ƈ且返回一个HTTP Response�l�客��L��Q�本�ơHTTP Request-Response Cycle�l�束�?
我们看到�Q�HTTP协议本��n�q�不能支持服务端保存客户端的状态信息。于是，Web Server中引入了session的概念，用来保存客户端的状态信息�?
�q�里用一个�Ş象的比喻来解释session的工作方式。假设Web Server是一个商场的存包处，HTTP Request是一个顾客，�W�一�ơ来到存包处�Q�管理员把顾客的物品存放在某一个柜子里面（�q�个柜子��q��当于Session�Q�，然后把一个号码牌交给�q�个��֮��Q�作为取包凭证（�q�个��L��牌就是Session ID�Q�。顾客（HTTP Request�Q�下一�ơ来的时候，��p��把号码牌�Q�Session ID�Q�交�l�存包处�Q�Web Server�Q�的��理员。管理员�Ҏ��L��牌（Session ID�Q�找到相应的柜子�Q�Session�Q�，�Ҏ��֮��Q�HTTP Request�Q�的��h��Q�Web Server可以取出、更换、添加柜子（Session�Q�中的物品，Web Server也可以让��֮��Q�HTTP Request�Q�的��L��牌和��L��牌对应的柜子�Q�Session�Q�失效。顾客（HTTP Request�Q�的忘性很大，��理员在��֮�回去的时候（HTTP Response�Q�都要重新提醒顾客记住自��q��L��牌（Session ID�Q�。这��P��֮��Q�HTTP Request�Q�下�ơ来的时候，��又带着��L��牌回来了�?
我们可以看到�Q�Session ID实际上是在客��L��和服务端之间通过HTTP Request和HTTP Response传来传去的�?

我们看到�Q�号码牌�Q�Session ID�Q�必��d��含在HTTP Request里面。关于HTTP Request的具体格式，请参见HTTP协议�Q?a >http://www.w3.org/Protocols/�Q�。这里只做一个简单的介绍�?
在Java Web Server�Q�即Servlet/JSP Server�Q�中�Q�Session ID用jsessionid表示�Q�请参见Servlet规范�Q��?
HTTP Request一般由3部分�l�成�Q?
�Q?�Q�Request Line
�q�一行由HTTP Method�Q�如GET或POST�Q�、URL、和HTTP版本��L��成�?
例如�Q�GET http://www.w3.org/pub/WWW/TheProject.html HTTP/1.1
GET http://www.google.com/search?q=Tomcat HTTP/1.1
POST http://www.google.com/search HTTP/1.1
GET http://www.somsite.com/menu.do;jsessionid=1001 HTTP/1.1

�Q?�Q�Request Headers
�q�部分定义了一些重要的头部信息�Q�如�Q�浏览器的种�c�，语言�Q�类型。Request Headers中还可以包括Cookie的定义。例如：
User-Agent: Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.0)
Accept-Language: en-us
Cookie: jsessionid=1001

�Q?�Q�Message Body
如果HTTP Method是GET�Q�那么Message Body为空�?
如果HTTP Method是POST�Q�说明这个HTTP Request是submit一个HTML Form的结果，
那么Message Body为HTML Form里面定义的Input属性。例如，
user=guest
password=guest
jsessionid=1001
��L��Q�如果把HTML Form元素的Method属性改为GET。那么，Message Body为空�Q�所有的Input属性都会加在URL的后面。你在浏览器的URL地址栏中会看到这些属性，�c�M��?
http://www.somesite/login.do?user=guest&password=guest&jsessionid=1001

从理��Z��来说�Q�这3个部分（Request URL�Q�Cookie Header, Message Body�Q�都可以用来存放Session ID。由于Message Body�Ҏ��必须需要一个包含Session ID的HTML Form�Q�所以这�U�方法不通用�?
一般用来实现Session的方法有两种�Q?
�Q?�Q�URL重写�?
Web Server在返回Response的时候，��查页面中所有的URL�Q�包括所有的�q�接�Q�和HTML Form的Action属性，在这些URL后面加上�?jsessionid=XXX”�?
下一�ơ，用户讉K��q�个��面中的URL。jsessionid��׃��传回到Web Server�?
�Q?�Q�Cookie�?
如果客户端支持Cookie�Q�Web Server在返回Response的时候，在Response的Header部分�Q�加入一个“set-cookie: jsessionid=XXXX”header属性，把jsessionid攑֜�Cookie里传到客��L��?
客户端会把Cookie存放在本地文仉��Q�下一�ơ访问Web Server的时候，再把Cookie的信息放到HTTP Request的“Cookie”header属性里面，�q�样jsessionid��随着HTTP Request�q�回�l�Web Server�?

我们来看Tomcat5的源代码如何支持jsessionid�?
org.apache.coyote.tomcat5.CoyoteResponse�cȝ��toEncoded()�Ҏ��支持URL重写�?
String toEncoded(String url, String sessionId) {
�?
StringBuffer sb = new StringBuffer(path);
if( sb.length() > 0 ) { // jsessionid can't be first.
sb.append(";jsessionid=");
sb.append(sessionId);
}
sb.append(anchor);
sb.append(query);
return (sb.toString());
}

我们来看org.apache.coyote.tomcat5.CoyoteRequest的两个方法configureSessionCookie()
doGetSession()用Cookie支持jsessionid.

/**
* Configures the given JSESSIONID cookie.
*
* @param cookie The JSESSIONID cookie to be configured
*/
protected void configureSessionCookie(Cookie cookie) {
�?
}

HttpSession doGetSession(boolean create){
�?
// Creating a new session cookie based on that session
if ((session != null) && (getContext() != null)
&& getContext().getCookies()) {
Cookie cookie = new Cookie(Globals.SESSION_COOKIE_NAME,
session.getId());
configureSessionCookie(cookie);
((HttpServletResponse) response).addCookie(cookie);
}
�?
}

Session的典型应用是存放用户的Login信息�Q�如用户名，密码�Q�权限角色等信息�Q�应用程序（如Email服务、网上银行等�pȝ��Q�根据这些信息进行��n份验证和权限验证

Kerwin Weng 2006-04-16 18:13 发表评论

亚洲成年轻人电影网站www,亚洲一区二区三区国产精品无码,亚洲AV无码专区亚洲AV伊甸园

What's session [转蝲]