Cookie与Session机制1分析和总结.pdf

会话（ Session ）跟踪是 Web 程序中常用的技术，用来 跟踪用户的整个会话 。常用的会话跟踪技术是 Cookie 与 Session 。Cookie 通 过在客户端记录信息确定用户身份 ，Session 通过在服务器端记录信息确定用户身份 。本章将系统地讲述 Cookie 与 Session 机制，并比 较说明什么时候不能用 Cookie ，什么时候不能用 Session 。 1.1 Cookie 机制 在程序中，会话跟踪是很重要的事情。理论上， 一个用户的所有请求操作都应该属于同一个会话 ，而另一个用户的所有请求操作则 应该属于另一个会话，二者不能混淆。例如，用户 A 在超市购买的任何商品都应该放在 A 的购物车内，不论是用户 A 什么时间购买的，这 都是属于同一个会话的，不能放入用户 B 或用户 C 的购物车内，这不属于同一个会话。 而 Web 应用程序是使用 HTTP 协议传输数据的。 HTTP 协议是无状态的协议。一旦数据交换完毕，客户端与服务器端的连接就会关 闭，再次交换数据需要建立新的连接。这就意味着服务器无法从连接上跟踪会话 。即用户 A 购买了一件商品放入购物车内，当再次购买商 品时服务器已经无法判断该购买行为是属于用户 A 的会话还是用户 B 的会话了。要跟踪该会话，必须引入一种机制。 Cookie 就是这样的一种机制。它可以弥补 HTTP 协议无状态的不足。在 Session 出现之前，基本上所有的网站都采用 Cookie 来跟踪 会话。 1.1.1 什么是 Cookie Cookie 意为 甜饼“ ”，是 由 W3C 组织提出 ，最早由 Netscape 社区发展的一种机制。目前 Cookie 已经成为标准，所有的主流浏览器如 IE 、Netscape 、 Firefox 、Opera 等都支持 Cookie 。 由于 HTTP 是一种无状态的协议， 服务器单从网络连接上无从知道客户身份。 怎么办呢？就 给客户端们颁发一个通行证吧， 每人一个， 无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了。这就是 Cookie 的工作原理 。 Cookie 实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用 response 向客户端浏览器颁发一 个 Cookie 。客户端浏览器会把 Cookie 保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该 Cookie 一同提交给服务器。服务 器检查该 Cookie ，以此来辨认用户状态。服务器还可以根据需要修改 Cookie 的内容。 浏览器 客户端 服务器 记录保存 辨别用户 COOKIE 如果记录客户信息 查看某个网站颁发的 Cookie 很简单。在浏览器地址栏输入 javascript:alert (document. cookie) 就可以了。 JavaScript 脚本会弹 出一个对话框显示本网站颁发的所有 Cookie 的内容，如图 1.1 所示。 图 1.1 Baidu 网站颁发的 Cookie 图 1.1 中弹出的对话框中显示的为 Baidu 网站的 Cookie 。其中第一行 BAIDUID 记录的就是笔者的身份 helloweenvsfei ，只是 Baidu 使用特殊的方法将 Cookie 信息加密了。 % 注意： Cookie 功能需要浏览器的支持。如果浏览器不支持 Cookie （如大部分手机中的浏览器）或者把 Cookie 禁用了， C ookie 功能就会失效。不同的浏览器采用不同的方式保存