摘要：于是乎服務器向用戶瀏覽器發送了一個名為的，它的值是的值。標記著該用戶已經登陸了跳轉到其他頁面，告訴用戶成功登陸了。注冊多個用戶，不斷發帖子，擾亂正常發帖秩序。在處理表單的中刷新。監聽用戶提交事件。

Session 是另一種記錄瀏覽器狀態的機制。不同的是Cookie保存在瀏覽器中，Session保存在服務器中。用戶使用瀏覽器訪問服務器的時候，服務器把用戶的信息以某種的形式記錄在服務器，這就是Session

如果說Cookie是檢查用戶身上的”通行證“來確認用戶的身份，那么Session就是通過檢查服務器上的”客戶明細表“來確認用戶的身份的。Session相當于在服務器中建立了一份“客戶明細表”。

Session比Cookie使用方便，Session可以解決Cookie解決不了的事情【Session可以存儲對象，Cookie只能存儲字符串。】。

long getCreationTime();【獲取Session被創建時間】

String getId();【獲取Session的id】

long getLastAccessedTime();【返回Session最后活躍的時間】

ServletContext getServletContext();【獲取ServletContext對象】

void setMaxInactiveInterval(int var1);【設置Session超時時間】

int getMaxInactiveInterval();【獲取Session超時時間】

Object getAttribute(String var1);【獲取Session屬性】

Enumeration getAttributeNames();【獲取Session所有的屬性名】

void setAttribute(String var1, Object var2);【設置Session屬性】

void removeAttribute(String var1);【移除Session屬性】

void invalidate();【銷毀該Session】

boolean isNew();【該Session是否為新的】

從上面的API看出，Session有著request和ServletContext類似的方法。其實Session也是一個域對象。Session作為一種記錄瀏覽器狀態的機制，只要Session對象沒有被銷毀，Servlet之間就可以通過Session對象實現通訊

我們來試試吧，在Servlet4中設置Session屬性

        //得到Session對象
        HttpSession httpSession = request.getSession();
        
        //設置Session屬性
        httpSession.setAttribute("name", "看完博客就要點贊！！");

在Servlet5中獲取到Session存進去的屬性

        //獲取到從Servlet4的Session存進去的值
        HttpSession httpSession = request.getSession();
        String value = (String) httpSession.getAttribute("name");
        System.out.println(value);

訪問Servlet4，再訪問Servlet5

一般來講，當我們要存進的是用戶級別的數據就用Session，那什么是用戶級別呢？只要瀏覽器不關閉，希望數據還在，就使用Session來保存。

Session在用戶第一次訪問服務器Servlet，jsp等動態資源就會被自動創建，Session對象保存在內存里，這也就為什么上面的例子可以直接使用request對象獲取得到Session對象。

如果訪問HTML,IMAGE等靜態資源Session不會被創建。

Session生成后，只要用戶繼續訪問，服務器就會更新Session的最后訪問時間，無論是否對Session進行讀寫，服務器都會認為Session活躍了一次。

由于會有越來越多的用戶訪問服務器，因此Session也會越來越多。為了防止內存溢出，服務器會把長時間沒有活躍的Session從內存中刪除，這個時間也就是Session的超時時間。

Session的超時時間默認是30分鐘，有三種方式可以對Session的超時時間進行修改

第一種方式：在tomcat/conf/web.xml文件中設置，時間值為20分鐘，所有的WEB應用都有效

            
            
                20
                

第二種方式：在單個的web.xml文件中設置，對單個web應用有效，如果有沖突，以自己的web應用為準。

            
            
                20
                

第三種方式：通過setMaxInactiveInterval()方法設置

        //設置Session最長超時時間為60秒，這里的單位是秒
        httpSession.setMaxInactiveInterval(60);

        System.out.println(httpSession.getMaxInactiveInterval());

Session的有效期與Cookie的是不同的

我們還是以書籍為例，所以可以copy“顯示瀏覽過的商品“例子部分的代碼。

        response.setContentType("text/html;charset=UTF-8");
        PrintWriter printWriter = response.getWriter();

        printWriter.write("網頁上所有的書籍：" + "
");

        //拿到數據庫所有的書
        LinkedHashMap linkedHashMap = DB.getAll();
        Set> entry = linkedHashMap.entrySet();

        //顯示所有的書到網頁上
        for (Map.Entry stringBookEntry : entry) {

            Book book = stringBookEntry.getValue();

            String url = "/ouzicheng/Servlet6?id=" + book.getId();
            printWriter.write(book.getName());
            printWriter.write("購買");
            printWriter.write("
");
        }

在購物車頁面上，獲取到用戶想買的書籍【用戶可能不單想買一本書，于是乎，就用一個List容器裝載書籍】，有了：先遍歷Cookie，再判斷是否是第一次訪問Servlet的邏輯思路，我們就可以先獲取到Session的屬性，如果Session的屬性為null，那么就是還沒有該屬性

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對象
        HttpSession httpSession = request.getSession();

        //由于用戶可能想買多本書的，所以我們用一個容器裝著書籍
        List list = (List) httpSession.getAttribute("list");
        if (list == null) {
            
            list = new ArrayList();
            
            //設置Session屬性
            httpSession.setAttribute("list",list);
        }
        //把書籍加入到list集合中
        list.add(book);

按我們正常的邏輯思路：先創建一個ArrayList對象，把書加到list集合中，然后設置Session的屬性。這樣是行不通的。每次Servlet被訪問的時候都會創建一個ArrayList集合，書籍會被分發到不同的ArrayList中去。所以下面的代碼是不行的！

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對象
        HttpSession httpSession = request.getSession();

        //創建List集合
        List list = new ArrayList();
        list.add(book);

        httpSession.setAttribute("list", list);

既然用戶已經購買了書籍，那么也應該給提供頁面顯示用戶購買過哪些書籍

        //得到用戶想買書籍的id
        String id = request.getParameter("id");

        //根據書籍的id找到用戶想買的書
        Book book = (Book) DB.getAll().get(id);

        //獲取到Session對象
        HttpSession httpSession = request.getSession();

        //由于用戶可能想買多本書的，所以我們用一個容器裝著書籍
        List list = (List) httpSession.getAttribute("list");
        if (list == null) {

            list = new ArrayList();

            //設置Session屬性
            httpSession.setAttribute("list",list);
        }
        //把書籍加入到list集合中
        list.add(book);

        String url = "/ouzicheng/Servlet7";
        response.sendRedirect(url);

列出用戶購買過的書籍

        //要得到用戶購買過哪些書籍，得到Session的屬性遍歷即可
        HttpSession httpSession = request.getSession();
        List list = (List) httpSession.getAttribute("list");

        if (list == null || list.size() == 0) {
            printWriter.write("對不起，你還沒有買過任何商品");

        } else {
            printWriter.write("您購買過以下商品：");
            printWriter.write("
");
            for (Book book : list) {
                printWriter.write(book.getName());
                printWriter.write("
");
            }
        }

效果如下

用現象說明問題，我在Servlet4中的代碼設置了Session的屬性

        //得到Session對象
        HttpSession httpSession = request.getSession();

        //設置Session屬性
        httpSession.setAttribute("name", "看完博客就要點贊！！");

接著在Servlet7把Session的屬性取出來

        String value = (String) request.getSession().getAttribute("name");

        printWriter.write(value);

自然地，我們能取到在Servlet4中Session設置的屬性

接著，我在瀏覽器中新建一個會話，再次訪問Servlet7

發現報了空指針異常的錯誤

現在問題來了：服務器是如何實現一個session為一個用戶瀏覽器服務的？換個說法：為什么服務器能夠為不同的用戶瀏覽器提供不同session？

HTTP協議是無狀態的，Session不能依據HTTP連接來判斷是否為同一個用戶。于是乎：服務器向用戶瀏覽器發送了一個名為JESSIONID的Cookie，它的值是Session的id值。其實Session依據Cookie來識別是否是同一個用戶。

簡單來說：Session 之所以可以識別不同的用戶，依靠的就是Cookie

該Cookie是服務器自動頒發給瀏覽器的，不用我們手工創建的。該Cookie的maxAge值默認是-1，也就是說僅當前瀏覽器使用，不將該Cookie存在硬盤中

我們來捋一捋思路流程：當我們訪問Servlet4的時候，服務器就會創建一個Session對象，執行我們的程序代碼，并自動頒發個Cookie給用戶瀏覽器

當我們用同一個瀏覽器訪問Servlet7的時候，瀏覽器會把Cookie的值通過http協議帶過去給服務器，服務器就知道用哪一Session。

而當我們使用新會話的瀏覽器訪問Servlet7的時候，該新瀏覽器并沒有Cookie，服務器無法辨認使用哪一個Session，所以就獲取不到值

上面說了Session是依靠Cookie來識別用戶瀏覽器的。如果我的用戶瀏覽器禁用了Cookie了呢？絕大多數的手機瀏覽器都不支持Cookie，那我的Session怎么辦？

好的，我們來看看情況是怎么樣的。用戶瀏覽器訪問Servlet4的時候，服務器向用戶瀏覽器頒發了一個Cookie

但是呢，當用戶瀏覽器訪問Servlet7的時候，由于我們禁用了Cookie，所以用戶瀏覽器并沒有把Cookie帶過去給服務器。

一看，Session好像不能用了。但是Java Web提供了解決方法：URL地址重寫

HttpServletResponse類提供了兩個URL地址重寫的方法：

encodeURL(String url)

encodeRedirectURL(String url)

需要值得注意的是：這兩個方法會自動判斷該瀏覽器是否支持Cookie，如果支持Cookie，重寫后的URL地址就不會帶有jsessionid了【當然了，即使瀏覽器支持Cookie，第一次輸出URL地址的時候還是會出現jsessionid（因為沒有任何Cookie可帶）】

下面我們就以上面“購物”的例子來做試驗吧！首先我們來看看禁用掉Cookie對原來的小例子有什么影響。

訪問Servlet1，隨便點擊一本書籍購買

無論點擊多少次，都會直接提示我們有買過任何商品

原因也非常簡單，沒有Cookie傳遞給服務器，服務器每次創建的時候都是新的Session，導致最后獲取到的List集合一定是空的。

不同Servlet獲取到的Session的id號都是不同的。

下面我們就對URL進行重寫，看看能不能恢復沒有禁掉Cookie之前的效果。

原則：把Session的屬性帶過去【傳遞給】另外一個Servlet，都要URL地址重寫

在跳轉到顯示購買過商品的Servlet的時候，URL地址重寫。

        String url = "/ouzicheng/Servlet7";

        response.sendRedirect(response.encodeURL(url));

再次訪問Servlet1，當我點擊javaweb的時候，已經能夠成功出現我買過的商品了。并且Session的id通過URL地址重寫，使用的是同一個Session

URL地址重寫的原理：將Session的id信息重寫到URL地址中。服務器解析重寫后URL，獲取Session的id。這樣一來，即使瀏覽器禁用掉了Cookie，但Session的id通過服務器端傳遞，還是可以使用Session來記錄用戶的狀態。

Java Web規范支持通過配置禁用Cookie

禁用自己項目的Cookie

在META-INF文件夾下的context.xml文件中修改（沒有則創建）

![](http://i.imgur.com/Szu5o1m.png)

```xml

        
        
        
        
```

禁用全部web應用的Cookie

在conf/context.xml中修改

![](http://i.imgur.com/dFrvztb.png)

注意：該配置只是讓服務器不能自動維護名為jsessionid的Cookie，并不能阻止Cookie的讀寫。

先創建User類

    private String username = null;
    private String password = null;

    public User() {
    }

    public User(String username, String password) {
        this.username = username;
        this.password = password;
    }

    ....各種set、get方法

使用簡單的集合模擬一個數據庫

    private static List list = new ArrayList<>();

    //裝載些數據進數據庫
    static {

        list.add(new User("aaa","111"));
        list.add(new User("bbb","222"));
        list.add(new User("ccc","333"));
    }

    //通過用戶名和密碼查找用戶
    public static User find(String username, String password) {

        for (User user : list) {
            if (user.getUsername().equals(username) && user.getPassword().equals(password)) {
                
                return user;
            }
        }
        
        return null;
    }

表單提交的工作我就在jsp寫了，如果在Servlet寫太麻煩了！

    用戶名：

    密碼：

    

獲取到表單提交的數據，查找數據庫是否有相對應的用戶名和密碼。如果沒有就提示用戶名或密碼出錯了，如果有就跳轉到另外一個頁面

        String username = request.getParameter("username");
        String password = request.getParameter("password");

        User user = UserDB.find(username, password);

        //如果找不到，就是用戶名或密碼出錯了。
        if (user == null) {
            response.getWriter().write("you can"t login");
            return;
        }

        //標記著該用戶已經登陸了！
        HttpSession httpSession = request.getSession();
        httpSession.setAttribute("user", user);

        //跳轉到其他頁面，告訴用戶成功登陸了。
        response.sendRedirect(response.encodeURL("index.jsp"));

我們來試試下數據庫沒有的用戶名和密碼，提示我不能登陸。

試試數據庫存在的用戶名和密碼

重復提交的危害：

在投票的網頁上不停地提交，實現了刷票的效果。

注冊多個用戶，不斷發帖子，擾亂正常發帖秩序。

首先我們來看一下常見的重復提交。

在處理表單的Servlet中刷新。

后退再提交

網絡延遲，多次點擊提交按鈕

下面的gif是后退再提交，在處理提交請求的Servlet中刷新

下面的gif是網絡延遲，多次點擊提交按鈕

對于網絡延遲造成的多次提交數據給服務器，其實是客戶端的問題。于是，我們可以使用javaScript來防止這種情況

要做的事情也非常簡單：當用戶第一次點擊提交按鈕時，把數據提交給服務器。當用戶再次點擊提交按鈕時，就不把數據提交給服務器了。

監聽用戶提交事件。只能讓用戶提交一次表單！

<%@ page contentType="text/html;charset=UTF-8" language="java" %>


    

    





    用戶名：
    

好的，我們來試一下是不是真的可以解決網絡延遲所造成的多次提交表單數據，注意鼠標，我已經點擊過很多次的了！

由于網絡延遲造成的多次提交數據給服務器，我們還可以使用javaScript代碼這樣解決：當我點擊過一次提交按鈕時，我就把提交的按鈕隱藏起來。不能讓用戶點擊了！

想要讓按鈕隱藏起來，也很簡單。只要獲取到按鈕的節點，就可以控制按鈕的隱藏或顯示了！

我們再來看一下效果

在處理表單的Servlet中刷新和后退再提交這兩種方式不能只靠客戶端來限制了。也就是說javaScript代碼無法阻止這兩種情況的發生。

于是乎，我們就想得用其他辦法來阻止表單數據重復提交了。我們現在學了Session，Session可以用來標識一個用戶是否登陸了。Session的原理也說了：不同的用戶瀏覽器會擁有不同的Session。而request和ServletContext為什么就不行呢？request的域對象只能是一次http請求，提交表單數據的時候request域對象的數據取不出來。ServletContext代表整個web應用，如果有幾個用戶瀏覽器同時訪問，ServletContext域對象的數據會被多次覆蓋掉，也就是說域對象的數據就毫無意義了。

可能到這里，我們會想到：在提交數據的時候，存進Session域對象的數據，在處理提交數據的Servlet中判斷Session域對象數據????。究竟判斷Session什么？判斷Session域對象的數據不為null？沒用呀，既然已經提交過來了，那肯定不為null。

此時，我們就想到了，在表單中還有一個隱藏域，可以通過隱藏域把數據交給服務器。

判斷Session域對象的數據和jsp隱藏域提交的數據是否對應。

判斷隱藏域的數據是否為空【如果為空，就是直接訪問表單處理頁面的Servlet】

判斷Session的數據是否為空【servlet判斷完是否重復提交，最好能立馬移除Session的數據，不然還沒有移除的時候，客戶端那邊兒的請求又來了，就又能匹配了，產生了重復提交。如果Session域對象數據為空，證明已經提交過數據了！】

我們向Session域對象的存入數據究竟是什么呢？簡單的一個數字？好像也行啊。因為只要Session域對象的數據和jsp隱藏域帶過去的數據對得上號就行了呀，反正在Servlet上判斷完是否重復提交，會立馬把Session的數據移除掉的。更專業的做法是：向Session域對象存入的數據是一個隨機數【Token--令牌】。

生成一個獨一無二的隨機數

/*
* 產生隨機數就應該用一個對象來生成，這樣可以避免隨機數的重復。
* 所以設計成單例
* */
public class TokenProcessor {


    private TokenProcessor() {
    }

    private final static TokenProcessor TOKEN_PROCESSOR = new TokenProcessor();

    public static TokenProcessor getInstance() {
        return TOKEN_PROCESSOR;
    }


    public static String makeToken() {


        //這個隨機生成出來的Token的長度是不確定的
        String token = String.valueOf(System.currentTimeMillis() + new Random().nextInt(99999999));

        try {
            //我們想要隨機數的長度一致，就要獲取到數據指紋
            MessageDigest messageDigest = MessageDigest.getInstance("md5");
            byte[] md5 = messageDigest.digest(token.getBytes());

            //如果我們直接 return  new String(md5)出去，得到的隨機數會亂碼。
            //因為隨機數是任意的01010101010，在轉換成字符串的時候，會查gb2312的碼表，gb2312碼表不一定支持該二進制數據，得到的就是亂碼
            
            //于是乎經過base64編碼成了明文的數據
            BASE64Encoder base64Encoder = new BASE64Encoder();
            return base64Encoder.encode(md5);

        } catch (NoSuchAlgorithmException e) {
            e.printStackTrace();
        }

        return null;

    }

}

創建Token隨機數，并跳轉到jsp頁面

        //生出隨機數
        TokenProcessor tokenProcessor = TokenProcessor.getInstance();
        String token = tokenProcessor.makeToken();

        //將隨機數存進Session中
        request.getSession().setAttribute("token", token);

        //跳轉到顯示頁面
        request.getRequestDispatcher("/login.jsp").forward(request, response);

jsp隱藏域獲取到Session的值

    用戶名：
    

    <%--使用EL表達式取出session中的Token--%>
    

在處理表單提交頁面中判斷：jsp隱藏域是否有值帶過來，Session中的值是否為空，Session中的值和jsp隱藏域帶過來的值是否相等

        String serverValue = (String) request.getSession().getAttribute("token");
        String clientValue = request.getParameter("token");

        if (serverValue != null && clientValue != null && serverValue.equals(clientValue)) {

            System.out.println("處理請求");

            //清除Session域對象數據
            request.getSession().removeAttribute("token");

        }else {

            System.out.println("請不要重復提交數據！");
        }

下面我們再來看一下,已經可以解決表單重復提交的問題了！

實現原理是非常簡單的：

在session域中存儲一個token

然后前臺頁面的隱藏域獲取得到這個token

在第一次訪問的時候，我們就判斷seesion有沒有值，如果有就比對。對比正確后我們就處理請求，接著就把session存儲的數據給刪除了

等到再次訪問的時候，我們session就沒有值了，就不受理前臺的請求了！

一次性校驗碼其實就是為了防止暴力猜測密碼

在講response對象的時候，我們使用response對象輸出過驗證碼，但是沒有去驗證！

驗證的原理也非常簡單：生成驗證碼后，把驗證碼的數據存進Session域對象中，判斷用戶輸入驗證碼是否和Session域對象的數據一致。

生成驗證碼圖片，并將驗證碼存進Session域中

        //在內存中生成圖片
        BufferedImage bufferedImage = new BufferedImage(80, 20, BufferedImage.TYPE_INT_RGB);

        //獲取到這張圖片
        Graphics2D graphics2D = (Graphics2D) bufferedImage.getGraphics();

        //設置背景色為白色
        graphics2D.setColor(Color.white);
        graphics2D.fillRect(0, 0, 80, 20);

        //設置圖片的字體和顏色
        graphics2D.setFont(new Font(null, Font.BOLD, 20));
        graphics2D.setColor(Color.BLUE);

        //生成隨機數
        String randomNum = makeNum();

        //往這張圖片上寫數據,橫坐標是0，縱坐標是20
        graphics2D.drawString(randomNum, 0, 20);

        //將隨機數存進Session域中
        request.getSession().setAttribute("randomNum", randomNum);

        //控制瀏覽器不緩存該圖片
        response.setHeader("Expires", "-1");
        response.setHeader("Cache-Control", "no-cache");
        response.setHeader("Pragma", "no-cache");

        //通知瀏覽器以圖片的方式打開
        response.setHeader("Content-type", "image/jpeg");

        //把圖片寫給瀏覽器
        ImageIO.write(bufferedImage, "jpg", response.getOutputStream());

生成隨機數的方法：

    private String makeNum() {

        Random random = new Random();

        //生成0-6位的隨機數
        int num = random.nextInt(999999);

        //驗證碼的數位全都要6位數，于是將該隨機數轉換成字符串，不夠位數就添加
        String randomNum = String.valueOf(num);

        //使用StringBuffer來拼湊字符串
        StringBuffer stringBuffer = new StringBuffer();
        for (int i = 0; i < 6 - randomNum.length(); i++) {
            stringBuffer.append("0");
        }

        return stringBuffer.append(randomNum).toString();


    }

jsp顯示頁面

    用戶名：

    密碼：

    驗證碼：
    



    

處理提交表單數據的Servlet，判斷用戶帶過來驗證碼的數據是否和Session的數據相同。

        //獲取用戶輸入驗證碼的數據
        String client_randomNum = request.getParameter("randomNum");

        //獲取Session中的數據
        String session_randomNum = (String) request.getSession().getAttribute("randomNum");

        //判斷他倆數據是否相等，用戶是否有輸入驗證碼，Session中是否為空
        if (client_randomNum == null || session_randomNum == null || !client_randomNum.equals(session_randomNum)) {
            System.out.println("驗證碼錯誤了！！！");
            return ;
        }

        //下面就是驗證用戶名和密碼...................

顯示頁面是這樣子的

我們來看一下效果！

對于校驗碼實現思路是這樣子的：

使用awt語法來描寫一張驗證碼，生成隨機數保存在seesion域中，我們讓驗證碼不能緩存起來【做到驗證碼都不一樣】

頁面直接訪問Servlet來獲取我們的驗證碼，于是我們驗證碼的值就會改變【同時session的值也會被改變】

當用戶驗證的時候，就是session內的值的驗證了。

從存儲方式上比較

Cookie只能存儲字符串，如果要存儲非ASCII字符串還要對其編碼。

Session可以存儲任何類型的數據，可以把Session看成是一個容器

從隱私安全上比較

Cookie存儲在瀏覽器中，對客戶端是可見的。信息容易泄露出去。如果使用Cookie，最好將Cookie加密

Session存儲在服務器上，對客戶端是透明的。不存在敏感信息泄露問題。

從有效期上比較

Cookie保存在硬盤中，只需要設置maxAge屬性為比較大的正整數，即使關閉瀏覽器，Cookie還是存在的

Session的保存在服務器中，設置maxInactiveInterval屬性值來確定Session的有效期。并且Session依賴于名為JSESSIONID的Cookie，該Cookie默認的maxAge屬性為-1。如果關閉了瀏覽器，該Session雖然沒有從服務器中消亡，但也就失效了。

從對服務器的負擔比較

Session是保存在服務器的，每個用戶都會產生一個Session，如果是并發訪問的用戶非常多，是不能使用Session的，Session會消耗大量的內存。

Cookie是保存在客戶端的。不占用服務器的資源。像baidu、Sina這樣的大型網站，一般都是使用Cookie來進行會話跟蹤。

從瀏覽器的支持上比較

如果瀏覽器禁用了Cookie，那么Cookie是無用的了！

如果瀏覽器禁用了Cookie，Session可以通過URL地址重寫來進行會話跟蹤。

從跨域名上比較

Cookie可以設置domain屬性來實現跨域名

Session只在當前的域名內有效，不可夸域名

如果僅僅使用Cookie或僅僅使用Session可能達不到理想的效果。這時應該嘗試一下同時使用Session和Cookie

那么，什么時候才需要同時使用Cookie和Session呢？

在上一篇博客中，我們使用了Session來進行簡單的購物，功能也的確實現了。現在有一個問題：我在購物的途中，不小心關閉了瀏覽器。當我再返回進去瀏覽器的時候，發現我購買過的商品記錄都沒了！！為什么會沒了呢？原因也非常簡單：服務器為Session自動維護的Cookie的maxAge屬性默認是-1的，當瀏覽器關閉掉了，該Cookie就自動消亡了。當用戶再次訪問的時候，已經不是原來的Cookie了。

我們現在想的是：即使我不小心關閉了瀏覽器了，我重新進去網站，我還能找到我的購買記錄。

要實現該功能也十分簡單，問題其實就在：服務器為Session自動維護的Cookie的maxAge屬性是-1，Cookie沒有保存在硬盤中。我現在要做的就是：把Cookie保存在硬盤中，即使我關閉了瀏覽器，瀏覽器再次訪問頁面的時候，可以帶上Cookie，從而服務器識別出Session。

第一種方式：只需要在處理購買頁面上創建Cookie，Cookie的值是Session的id返回給瀏覽器即可

        Cookie cookie = new Cookie("JSESSIONID",session.getId());
        cookie.setMaxAge(30*60);
        cookie.setPath("/ouzicheng/");
        response.addCookie(cookie);

第二種方式： 在server.xml文件中配置，將每個用戶的Session在服務器關閉的時候序列化到硬盤或數據庫上保存。但此方法不常用，知道即可！

下面看一下效果

如果文章有錯的地方歡迎指正，大家互相交流。習慣在微信看技術文章的同學，可以關注微信公眾號:Java3y