标签：session
1. 广义的session
中文名称会话，Http客户端和Http服务器开始通信，就会产生会话，会话过程是可以连续的，也可以是时断时续的，它会有一个时间范围，表象就是你登录一个网站，如果长时间未登录，网站会提示你，这就是对session的一种应用。
2. JavaEE中的session
JavaEE规范中，session被定义为一个具体的接口，javax.servlet.http.HttpSession，这个接口最终由符合JavaEE规范的应用服务器来实现，如我们最常用的Tomcat、Weblogic、Websphere等，session通常是存储在服务器内存中的(也有其它存储方式，但这里只讨论这种情况)，也就是说session是服务器创建的，而不是浏览器创建的(刚开始学习时，老师经常这么说，可能也是为了方便理解)。
3、概念：Session代表服务器与浏览器的一次会话过程，这个过程是连续的，也可以时断时续的。在Servlet中，session指的是HttpSession类的对象，这个概念到此结束了，也许会很模糊，但只有看完本文，才能真正有个深刻理解。
4、Session创建的时间是：
一个常见的误解是以为session在有客户端访问时就被创建，然而事实是直到某server端程序调用 HttpServletRequest.getSession(true)这样的语句时才被创建，注意如果JSP没有显示的使用 <% @page session="false"%> 关闭session，则JSP文件在编译成Servlet时将会自动加上这样一条语句 HttpSession session = HttpServletRequest.getSession(true);这也是JSP中隐含的 session对象的来历。
由于session会消耗内存资源，因此，如果不打算使用session，应该在所有的JSP中关闭它。
引申：
1）、访问*.html的静态资源因为不会被编译为Servlet，也就不涉及session的问题。
2）、当JSP页面没有显式禁止session的时候，在打开浏览器第一次请求该jsp的时候，服务器会自动为其创建一个session，并赋予其一个sessionID，发送给客户端的浏览器。以后客户端接着请求本应用中其他资源的时候，会自动在请求头上添加：
Cookie:JSESSIONID=客户端第一次拿到的session ID
这样，服务器端在接到请求时候，就会收到session ID，并根据ID在内存中找到之前创建的session对象，提供给请求使用。这也是session使用的基本原理----搞不懂这个，就永远不明白session的原理。
5、服务器生成session后，浏览器下次访问，服务器怎么判断session？
启动一个应用，访问一个jsp，这里以我本地的为例。
<img http://img.blog.csdn.net/20131025175205234?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvZ2hzYXU=/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast alt>
初次访问服务器上的一个jsp，服务器在响应头中设置了临时cookie，并加上了一JSESSIONID(毋庸置疑，肯定是服务器给加上的，Tomcat具体代码我没有去找)。
第二次访问jsp：
<img http://img.blog.csdn.net/20131025175214281?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvZ2hzYXU=/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast alt>
浏览器将存储JSESSIONID的cookie随着请求一起发送到服务器，服务器通过JSESSIONID到内存中找到上次生成的session对象，从而实现客户端(浏览器)共享session。JSESSIONID也可以拼在url上，如http:///localhost:8080/testApp/test.jsp;JSESSIONID=XXXXXXXXXXXX?param1=value1，JSESSIONID可以通过request.getSession().getId()得到，url中如果有JSESSIONID，服务器就不会从cookie中取了。
总结下：对于多标签的浏览器（比如360浏览器）来说，在一个浏览器窗口中，多个标签同时访问一个页面，session是一个。对于多个浏览器窗口之间，同时或者相隔很短时间访问一个页面，session是多个的，和浏览器的进程有关。对于一个同一个浏览器窗口，直接录入url访问同一应用的不同资源，session是一样的。
注：浏览器多个tab之间(同一域下)共享session，实际上就是临时cookie都一样，JSESSIONID都是一个。而多个窗口之间使用不同的cookie不一样，所以不能共享session。
6、session的销毁
1. session在服务器创建后，什么时候会消失呢？
服务器被强制关闭，肯定啥都没有了，这要看服务器具体的实现，像Tomcat正常关闭(使用shutdown，而不是X掉)的话，是会对session序列化到硬盘上的，重新启动后，会读取，原有的session依然存在。
程序中调用session.invalidate()，销毁当前session方法。
session超时，超时指的是服务器连续一段时间内(超出了应用中设置的最低时限)没有接收到session所在客户端的请求，服务器从内存中移除该session对象。
2. 浏览器窗口关闭，session会消失吗？
老师通常这么告诉，很多书中也这样讲，真是偷换概念，大错特错，浏览器关闭后，只是对应服务器session的JSESSIONID消失了，而服务器再也用不到这个session，导致超时，服务器会自动销毁。
注：本文中讨论的session只是存储在服务器内存的情况，诸如其它放在Cache中、分布式存储、持久化神马的，还没接触，也就没研究。
7、session的id是从哪里来的，sessionID是如何使用的：当客户端第一次请求session对象时候，服务器会为客户端创建一个session，并将通过特殊算法算出一个session的ID，用来标识该session对象，当浏览器下次（session继续有效时）请求别的资源的时候，浏览器会偷偷地将sessionID放置到请求头中，服务器接收到请求后就得到该请求的sessionID，服务器找到该id的session返还给请求者（Servlet）使用。一个会话只能有一个session对象，对session来说是只认id不认人。
8、session因为请求（request对象）而产生，同一个会话中多个request共享了一session对象，可以直接从请求中获取到session对象。
9、其实，session的创建和使用总在服务端，而浏览器从来都没得到过session对象。但浏览器可以请求Servlet（jsp也是Servlet）来获取session的信息。客户端浏览器真正紧紧拿到的是session ID，而这个对于浏览器操作的人来说，是不可见的，并且用户也无需关心自己处于哪个会话过程中。
10、session是消耗服务器内存的，所以要合理使用session，别什么东西都往session里放。
session是由服务器创建的，跟浏览器没有半毛钱关系，浏览器只是拿到一个JSESSIONID。
本文出自 “大荒芜经” 博客，请务必保留此出处http://2892931976.blog.51cto.com/5396534/1761380
标签：session
原文地址：http://2892931976.blog.51cto.com/5396534/1761380
