我們來試試吧，在Servlet4中設(shè)置Session屬性

        //得到Session對(duì)象
        HttpSession httpSession = request.getSession();
        
        //設(shè)置Session屬性
        httpSession.setAttribute("name", "看完博客就要點(diǎn)贊！！");

在Servlet5中獲取到Session存進(jìn)去的屬性

        //獲取到從Servlet4的Session存進(jìn)去的值
        HttpSession httpSession = request.getSession();
        String value = (String) httpSession.getAttribute("name");
        System.out.println(value);

訪問Servlet4，再訪問Servlet5

一般來講，當(dāng)我們要存進(jìn)的是用戶級(jí)別的數(shù)據(jù)就用Session，那什么是用戶級(jí)別呢？只要瀏覽器不關(guān)閉，希望數(shù)據(jù)還在，就使用Session來保存。

Session在用戶第一次訪問服務(wù)器Servlet，jsp等動(dòng)態(tài)資源就會(huì)被自動(dòng)創(chuàng)建，Session對(duì)象保存在內(nèi)存里，這也就為什么上面的例子可以直接使用request對(duì)象獲取得到Session對(duì)象。

如果訪問HTML,IMAGE等靜態(tài)資源Session不會(huì)被創(chuàng)建。

Session生成后，只要用戶繼續(xù)訪問，服務(wù)器就會(huì)更新Session的最后訪問時(shí)間，無(wú)論是否對(duì)Session進(jìn)行讀寫，服務(wù)器都會(huì)認(rèn)為Session活躍了一次。

由于會(huì)有越來越多的用戶訪問服務(wù)器，因此Session也會(huì)越來越多。為了防止內(nèi)存溢出，服務(wù)器會(huì)把長(zhǎng)時(shí)間沒有活躍的Session從內(nèi)存中刪除，這個(gè)時(shí)間也就是Session的超時(shí)時(shí)間。

Session的超時(shí)時(shí)間默認(rèn)是30分鐘，有三種方式可以對(duì)Session的超時(shí)時(shí)間進(jìn)行修改

第一種方式：在tomcat/conf/web.xml文件中設(shè)置，時(shí)間值為20分鐘，所有的WEB應(yīng)用都有效

            
            
                20
                

第二種方式：在單個(gè)的web.xml文件中設(shè)置，對(duì)單個(gè)web應(yīng)用有效，如果有沖突，以自己的web應(yīng)用為準(zhǔn)。

            
            
                20
                

第三種方式：通過setMaxInactiveInterval()方法設(shè)置

        //設(shè)置Session最長(zhǎng)超時(shí)時(shí)間為60秒，這里的單位是秒
        httpSession.setMaxInactiveInterval(60);

        System.out.println(httpSession.getMaxInactiveInterval());

Session的有效期與Cookie的是不同的

我們還是以書籍為例，所以可以copy“顯示瀏覽過的商品“例子部分的代碼。

        response.setContentType("text/html;charset=UTF-8");
        PrintWriter printWriter = response.getWriter();

        printWriter.write("網(wǎng)頁(yè)上所有的書籍：" + "
");

        //拿到數(shù)據(jù)庫(kù)所有的書
        LinkedHashMap linkedHashMap = DB.getAll();
        Set> entry = linkedHashMap.entrySet();

        //顯示所有的書到網(wǎng)頁(yè)上
        for (Map.Entry stringBookEntry : entry) {

            Book book = stringBookEntry.getValue();

            String url = "/ouzicheng/Servlet6?id=" + book.getId();
            printWriter.write(book.getName());
            printWriter.write("購(gòu)買");
            printWriter.write("
");
        }

在購(gòu)物車頁(yè)面上，獲取到用戶想買的書籍【用戶可能不單想買一本書，于是乎，就用一個(gè)List容器裝載書籍】，有了：先遍歷Cookie，再判斷是否是第一次訪問Servlet的邏輯思路，我們就可以先獲取到Session的屬性，如果Session的屬性為null，那么就是還沒有該屬性

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據(jù)書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對(duì)象
        HttpSession httpSession = request.getSession();

        //由于用戶可能想買多本書的，所以我們用一個(gè)容器裝著書籍
        List list = (List) httpSession.getAttribute("list");
        if (list == null) {
            
            list = new ArrayList();
            
            //設(shè)置Session屬性
            httpSession.setAttribute("list",list);
        }
        //把書籍加入到list集合中
        list.add(book);

按我們正常的邏輯思路：先創(chuàng)建一個(gè)ArrayList對(duì)象，把書加到list集合中，然后設(shè)置Session的屬性。這樣是行不通的。每次Servlet被訪問的時(shí)候都會(huì)創(chuàng)建一個(gè)ArrayList集合，書籍會(huì)被分發(fā)到不同的ArrayList中去。所以下面的代碼是不行的！

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據(jù)書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對(duì)象
        HttpSession httpSession = request.getSession();

        //創(chuàng)建List集合
        List list = new ArrayList();
        list.add(book);

        httpSession.setAttribute("list", list);

既然用戶已經(jīng)購(gòu)買了書籍，那么也應(yīng)該給提供頁(yè)面顯示用戶購(gòu)買過哪些書籍

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據(jù)書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對(duì)象
        HttpSession httpSession = request.getSession();

        //由于用戶可能想買多本書的，所以我們用一個(gè)容器裝著書籍
        List list = (List) httpSession.getAttribute("list");
        if (list == null) {

            list = new ArrayList();

            //設(shè)置Session屬性
            httpSession.setAttribute("list",list);
        }
        //把書籍加入到list集合中
        list.add(book);

        String url = "/ouzicheng/Servlet7";
        response.sendRedirect(url);

列出用戶購(gòu)買過的書籍

        //要得到用戶購(gòu)買過哪些書籍，得到Session的屬性遍歷即可
        HttpSession httpSession = request.getSession();
        List list = (List) httpSession.getAttribute("list");

        if (list == null || list.size() == 0) {
            printWriter.write("對(duì)不起，你還沒有買過任何商品");

        } else {
            printWriter.write("您購(gòu)買過以下商品：");
            printWriter.write("
");
            for (Book book : list) {
                printWriter.write(book.getName());
                printWriter.write("
");
            }
        }

效果如下

用現(xiàn)象說明問題，我在Servlet4中的代碼設(shè)置了Session的屬性

        //得到Session對(duì)象
        HttpSession httpSession = request.getSession();

        //設(shè)置Session屬性
        httpSession.setAttribute("name", "看完博客就要點(diǎn)贊！！");

接著在Servlet7把Session的屬性取出來

        String value = (String) request.getSession().getAttribute("name");

        printWriter.write(value);

自然地，我們能取到在Servlet4中Session設(shè)置的屬性

接著，我在瀏覽器中新建一個(gè)會(huì)話，再次訪問Servlet7

發(fā)現(xiàn)報(bào)了空指針異常的錯(cuò)誤

現(xiàn)在問題來了：服務(wù)器是如何實(shí)現(xiàn)一個(gè)session為一個(gè)用戶瀏覽器服務(wù)的？換個(gè)說法：為什么服務(wù)器能夠?yàn)椴煌挠脩魹g覽器提供不同session？

HTTP協(xié)議是無(wú)狀態(tài)的，Session不能依據(jù)HTTP連接來判斷是否為同一個(gè)用戶。于是乎：服務(wù)器向用戶瀏覽器發(fā)送了一個(gè)名為JESSIONID的Cookie，它的值是Session的id值。其實(shí)Session依據(jù)Cookie來識(shí)別是否是同一個(gè)用戶。

簡(jiǎn)單來說：Session 之所以可以識(shí)別不同的用戶，依靠的就是Cookie

該Cookie是服務(wù)器自動(dòng)頒發(fā)給瀏覽器的，不用我們手工創(chuàng)建的。該Cookie的maxAge值默認(rèn)是-1，也就是說僅當(dāng)前瀏覽器使用，不將該Cookie存在硬盤中

我們來捋一捋思路流程：當(dāng)我們?cè)L問Servlet4的時(shí)候，服務(wù)器就會(huì)創(chuàng)建一個(gè)Session對(duì)象，執(zhí)行我們的程序代碼，并自動(dòng)頒發(fā)個(gè)Cookie給用戶瀏覽器

當(dāng)我們用同一個(gè)瀏覽器訪問Servlet7的時(shí)候，瀏覽器會(huì)把Cookie的值通過http協(xié)議帶過去給服務(wù)器，服務(wù)器就知道用哪一Session。

而當(dāng)我們使用新會(huì)話的瀏覽器訪問Servlet7的時(shí)候，該新瀏覽器并沒有Cookie，服務(wù)器無(wú)法辨認(rèn)使用哪一個(gè)Session，所以就獲取不到值

上面說了Session是依靠Cookie來識(shí)別用戶瀏覽器的。如果我的用戶瀏覽器禁用了Cookie了呢？絕大多數(shù)的手機(jī)瀏覽器都不支持Cookie，那我的Session怎么辦？

好的，我們來看看情況是怎么樣的。用戶瀏覽器訪問Servlet4的時(shí)候，服務(wù)器向用戶瀏覽器頒發(fā)了一個(gè)Cookie

但是呢，當(dāng)用戶瀏覽器訪問Servlet7的時(shí)候，由于我們禁用了Cookie，所以用戶瀏覽器并沒有把Cookie帶過去給服務(wù)器。

一看，Session好像不能用了。但是Java Web提供了解決方法：URL地址重寫

HttpServletResponse類提供了兩個(gè)URL地址重寫的方法：

encodeURL(String url)

encodeRedirectURL(String url)

需要值得注意的是：這兩個(gè)方法會(huì)自動(dòng)判斷該瀏覽器是否支持Cookie，如果支持Cookie，重寫后的URL地址就不會(huì)帶有jsessionid了【當(dāng)然了，即使瀏覽器支持Cookie，第一次輸出URL地址的時(shí)候還是會(huì)出現(xiàn)jsessionid（因?yàn)闆]有任何Cookie可帶）】

下面我們就以上面“購(gòu)物”的例子來做試驗(yàn)吧！首先我們來看看禁用掉Cookie對(duì)原來的小例子有什么影響。

訪問Servlet1，隨便點(diǎn)擊一本書籍購(gòu)買

無(wú)論點(diǎn)擊多少次，都會(huì)直接提示我們有買過任何商品

原因也非常簡(jiǎn)單，沒有Cookie傳遞給服務(wù)器，服務(wù)器每次創(chuàng)建的時(shí)候都是新的Session，導(dǎo)致最后獲取到的List集合一定是空的。

不同Servlet獲取到的Session的id號(hào)都是不同的。

下面我們就對(duì)URL進(jìn)行重寫，看看能不能恢復(fù)沒有禁掉Cookie之前的效果。

原則：把Session的屬性帶過去【傳遞給】另外一個(gè)Servlet，都要URL地址重寫

在跳轉(zhuǎn)到顯示購(gòu)買過商品的Servlet的時(shí)候，URL地址重寫。

        String url = "/ouzicheng/Servlet7";

        response.sendRedirect(response.encodeURL(url));

再次訪問Servlet1，當(dāng)我點(diǎn)擊javaweb的時(shí)候，已經(jīng)能夠成功出現(xiàn)我買過的商品了。并且Session的id通過URL地址重寫，使用的是同一個(gè)Session

URL地址重寫的原理：將Session的id信息重寫到URL地址中。服務(wù)器解析重寫后URL，獲取Session的id。這樣一來，即使瀏覽器禁用掉了Cookie，但Session的id通過服務(wù)器端傳遞，還是可以使用Session來記錄用戶的狀態(tài)。

Java Web規(guī)范支持通過配置禁用Cookie

禁用自己項(xiàng)目的Cookie

在META-INF文件夾下的context.xml文件中修改（沒有則創(chuàng)建）

![](http://i.imgur.com/Szu5o1m.png)

```xml

        
        
        
        
```

禁用全部web應(yīng)用的Cookie

在conf/context.xml中修改

![](http://i.imgur.com/dFrvztb.png)

注意：該配置只是讓服務(wù)器不能自動(dòng)維護(hù)名為jsessionid的Cookie，并不能阻止Cookie的讀寫。

先創(chuàng)建User類

    private String username = null;
    private String password = null;

    public User() {
    }

    public User(String username, String password) {
        this.username = username;
        this.password = password;
    }

    ....各種set、get方法

使用簡(jiǎn)單的集合模擬一個(gè)數(shù)據(jù)庫(kù)

    private static List list = new ArrayList<>();

    //裝載些數(shù)據(jù)進(jìn)數(shù)據(jù)庫(kù)
    static {

        list.add(new User("aaa","111"));
        list.add(new User("bbb","222"));
        list.add(new User("ccc","333"));
    }

    //通過用戶名和密碼查找用戶
    public static User find(String username, String password) {

        for (User user : list) {
            if (user.getUsername().equals(username) && user.getPassword().equals(password)) {
                
                return user;
            }
        }
        
        return null;
    }

表單提交的工作我就在jsp寫了，如果在Servlet寫太麻煩了！

    用戶名：

    密碼：

    

獲取到表單提交的數(shù)據(jù)，查找數(shù)據(jù)庫(kù)是否有相對(duì)應(yīng)的用戶名和密碼。如果沒有就提示用戶名或密碼出錯(cuò)了，如果有就跳轉(zhuǎn)到另外一個(gè)頁(yè)面

        String username = request.getParameter("username");
        String password = request.getParameter("password");

        User user = UserDB.find(username, password);

        //如果找不到，就是用戶名或密碼出錯(cuò)了。
        if (user == null) {
            response.getWriter().write("you can"t login");
            return;
        }

        //標(biāo)記著該用戶已經(jīng)登陸了！
        HttpSession httpSession = request.getSession();
        httpSession.setAttribute("user", user);

        //跳轉(zhuǎn)到其他頁(yè)面，告訴用戶成功登陸了。
        response.sendRedirect(response.encodeURL("index.jsp"));

我們來試試下數(shù)據(jù)庫(kù)沒有的用戶名和密碼，提示我不能登陸。

試試數(shù)據(jù)庫(kù)存在的用戶名和密碼

重復(fù)提交的危害：

在投票的網(wǎng)頁(yè)上不停地提交，實(shí)現(xiàn)了刷票的效果。

注冊(cè)多個(gè)用戶，不斷發(fā)帖子，擾亂正常發(fā)帖秩序。

首先我們來看一下常見的重復(fù)提交。

在處理表單的Servlet中刷新。

后退再提交

網(wǎng)絡(luò)延遲，多次點(diǎn)擊提交按鈕

下面的gif是后退再提交，在處理提交請(qǐng)求的Servlet中刷新

下面的gif是網(wǎng)絡(luò)延遲，多次點(diǎn)擊提交按鈕

對(duì)于網(wǎng)絡(luò)延遲造成的多次提交數(shù)據(jù)給服務(wù)器，其實(shí)是客戶端的問題。于是，我們可以使用javaScript來防止這種情況

要做的事情也非常簡(jiǎn)單：當(dāng)用戶第一次點(diǎn)擊提交按鈕時(shí)，把數(shù)據(jù)提交給服務(wù)器。當(dāng)用戶再次點(diǎn)擊提交按鈕時(shí)，就不把數(shù)據(jù)提交給服務(wù)器了。

監(jiān)聽用戶提交事件。只能讓用戶提交一次表單！

<%@ page contentType="text/html;charset=UTF-8" language="java" %>


    

    





    用戶名：
    

好的，我們來試一下是不是真的可以解決網(wǎng)絡(luò)延遲所造成的多次提交表單數(shù)據(jù)，注意鼠標(biāo)，我已經(jīng)點(diǎn)擊過很多次的了！

由于網(wǎng)絡(luò)延遲造成的多次提交數(shù)據(jù)給服務(wù)器，我們還可以使用javaScript代碼這樣解決：當(dāng)我點(diǎn)擊過一次提交按鈕時(shí)，我就把提交的按鈕隱藏起來。不能讓用戶點(diǎn)擊了！

想要讓按鈕隱藏起來，也很簡(jiǎn)單。只要獲取到按鈕的節(jié)點(diǎn)，就可以控制按鈕的隱藏或顯示了！

我們?cè)賮砜匆幌滦Ч?/p>

在處理表單的Servlet中刷新和后退再提交這兩種方式不能只靠客戶端來限制了。也就是說javaScript代碼無(wú)法阻止這兩種情況的發(fā)生。

于是乎，我們就想得用其他辦法來阻止表單數(shù)據(jù)重復(fù)提交了。我們現(xiàn)在學(xué)了Session，Session可以用來標(biāo)識(shí)一個(gè)用戶是否登陸了。Session的原理也說了：不同的用戶瀏覽器會(huì)擁有不同的Session。而request和ServletContext為什么就不行呢？request的域?qū)ο笾荒苁且淮蝖ttp請(qǐng)求，提交表單數(shù)據(jù)的時(shí)候request域?qū)ο蟮臄?shù)據(jù)取不出來。ServletContext代表整個(gè)web應(yīng)用，如果有幾個(gè)用戶瀏覽器同時(shí)訪問，ServletContext域?qū)ο蟮臄?shù)據(jù)會(huì)被多次覆蓋掉，也就是說域?qū)ο蟮臄?shù)據(jù)就毫無(wú)意義了。

可能到這里，我們會(huì)想到：在提交數(shù)據(jù)的時(shí)候，存進(jìn)Session域?qū)ο蟮臄?shù)據(jù)，在處理提交數(shù)據(jù)的Servlet中判斷Session域?qū)ο髷?shù)據(jù)????。究竟判斷Session什么？判斷Session域?qū)ο蟮臄?shù)據(jù)不為null？沒用呀，既然已經(jīng)提交過來了，那肯定不為null。

此時(shí)，我們就想到了，在表單中還有一個(gè)隱藏域，可以通過隱藏域把數(shù)據(jù)交給服務(wù)器。

判斷Session域?qū)ο蟮臄?shù)據(jù)和jsp隱藏域提交的數(shù)據(jù)是否對(duì)應(yīng)。

判斷隱藏域的數(shù)據(jù)是否為空【如果為空，就是直接訪問表單處理頁(yè)面的Servlet】

判斷Session的數(shù)據(jù)是否為空【servlet判斷完是否重復(fù)提交，最好能立馬移除Session的數(shù)據(jù)，不然還沒有移除的時(shí)候，客戶端那邊兒的請(qǐng)求又來了，就又能匹配了，產(chǎn)生了重復(fù)提交。如果Session域?qū)ο髷?shù)據(jù)為空，證明已經(jīng)提交過數(shù)據(jù)了！】