(1)-不恰当的request.getSession()



在HttpServlet中，HttpSession对象通常在request.getSession(true)方法调用时才创建。 HttpSession的使用是有代价的，需要占用服务器资源，本着能不浪费就不浪费的原则，我希望系统中的session都在掌握之中，在需要创建时由 我们的代码明确创建。但是最近在开发中发现，新的session对象经常在意料之外出现，究竟是谁在创建session呢？




最常见的地方是错误的使用request.getSession()函数，通常在action中检查是否有某个变量/标记存放在session中。这个场景中可能出现没有session存在的情况，正常的判断应该是这样：

  1. private boolean ifFlagExistInSession(HttpServletRequest request) {     HttpSession session = request.getSession(false);     if (session != null) {         if (session.getAttribute("flagName")  != null) {             return true;         }     }     return false; }
. private boolean ifFlagExistInSession(HttpServletRequest request) {  

   .     HttpSession session = request.getSession(false);  

   .     if (session != null) {  

   .         if (session.getAttribute("flagName")  != null) {  

   .             return true;  

   .         }  

   .     }  

   .     return false;  

   . }  

而下面的写法，则可能会生成一个新的不在我们意图之外的session：

  1. private boolean ifFlagExistInSession(HttpServletRequest request) {     HttpSession session = request.getSession();   // a new session created if no session exists     if (session.getAttribute("flagName")  != null) {         return true;     }     return false; }
. private boolean ifFlagExistInSession(HttpServletRequest request) {  

   .     HttpSession session = request.getSession();   // a new session created if no session exists  

.     if (session.getAttribute("flagName")  != null) {  

   .         return true;  

   .     }  

   .     return false;  

   . }  

注意request.getSession() 等同于 request.getSession(true)，除非我们确认session一定存在或者sesson不存在时明确有创建session的需要，否则 请尽量使用request.getSession(false)。






(2)-悄悄干活的jsp

jsp文件是session创建的一个源头，这里指的不是在jsp文件中用代码或者标签来操作session，这些都是在控制中的。容易忽视或者说根本就 不会意识到的（比如我，就是写jsp三年后才发现的)是，jsp有自动创建session的机制，在jsp页面中，如果没有明确的给出 <% @page session="false"%>，jsp页面会非常乖巧（如果刚好需要）或者说是偷偷摸摸（如果不需要）的自动在生成的java文件中增加一 句： javax.servlet.http.HttpSession session
= request.getSession(true)。



为了验证这个说法，我们做以下测试，先来一个最简单的jsp文件，名字也简单a.jsp，放到resin下。a.jsp的内容如下，注意里面有一个<%=1%>，后面会详细解释为什么需要这句话：

  1. <%@ page session="true"%>
  2. <html>
  3. <head>
  4. <title>test</title>
  5. </head>
  6. <body>
  7. <%=1%>
  8. </body>
  9. </html>
  1. <%@ page session="true"%> <html> <head> <title>test</title> </head> <body> <%=1%> </body> </html>

用页面访问一下，然后到resin下webapp目录的WEB-INF/work/_jsp目录下找到_a__jsp.java，打开可以看到

public class _a__jsp extends com.caucho.jsp.JavaPage

有关jsp页面是如何转换为java文件再被编译成class的介绍，请google。看我们关心的public void _jspService()方法:

  1. public void  _jspService(javax.servlet.http.HttpServletRequest request,
  2. javax.servlet.http.HttpServletResponse response)
  3. throws java.io.IOException, javax.servlet.ServletException
  4. {
  5. javax.servlet.http.HttpSession session = request.getSession(true);
  6. com.caucho.server.webapp.Application _jsp_application = _caucho_getApplication();
  1. public void  _jspService(javax.servlet.http.HttpServletRequest request,               javax.servlet.http.HttpServletResponse response)     throws java.io.IOException, javax.servlet.ServletException   {     javax.servlet.http.HttpSession session = request.getSession(true);     com.caucho.server.webapp.Application _jsp_application = _caucho_getApplication();

可以看到第一行，明确的调用了request.getSession(true)，session就是再这里被自动创建的，这里也就是JSP中隐含的session对象的来历。


使用抓包软件，可以看到请求这个jsp页面的http response里面有以下内容：

Set-Cookie: JSESSIONID=abc0zn72YuHtacvaaORBr; path=/

这个是刚才创建的session的jsessionid，被保存到cookie中。



然后继续测试，设置为

<%@ page session="false"%>



打开java文件：

  1. public void _jspService(javax.servlet.http.HttpServletRequest request,
  2. javax.servlet.http.HttpServletResponse response)
  3. throws java.io.IOException, javax.servlet.ServletException
  4. {
  5. com.caucho.server.webapp.Application _jsp_application = _caucho_getApplication();
  1. public void _jspService(javax.servlet.http.HttpServletRequest request,               javax.servlet.http.HttpServletResponse response)     throws java.io.IOException, javax.servlet.ServletException   {     com.caucho.server.webapp.Application _jsp_application = _caucho_getApplication();

没有javax.servlet.http.HttpSession session = request.getSession(true);

这行代码了，同时http response 中没有Set-Cookie: JSESSIONID=***的语句了。

ok，这下清晰了。



再来解释一下为什么要在刚才的jsp文件里面增加<%=1%>这行，我们先做测试，将<%=1%>删除，同样测试<%@ page session="true/false"%>两种情况。可以看到

  1. public void _jspService(javax.servlet.http.HttpServletRequest request,
  2. javax.servlet.http.HttpServletResponse response)
  3. throws java.io.IOException, javax.servlet.ServletException
  4. {
  5. javax.servlet.http.HttpSession session = request.getSession(true);
  1. public void _jspService(javax.servlet.http.HttpServletRequest request,               javax.servlet.http.HttpServletResponse response)     throws java.io.IOException, javax.servlet.ServletException   {     javax.servlet.http.HttpSession session = request.getSession(true);

则不管是否有<%@ page session="true"%>都不自动创建session。考虑删除<%=1%>后的jsp文件内容

  1. <%@ page session="true"%>
  2. <html>
  3. <head>
  4. <title>test</title>
  5. </head>
  6. <body>
  7. </body>
  8. </html>
  1. <%@ page session="true"%> <html> <head> <title>test</title> </head> <body> </body> </html>

这个是最简单的纯html页面，估计是resin的实现考虑优化了这点。(resin: 都纯html了，还要session干嘛？)



最后再澄清一点，发现网络上很多人持有一个观点： session在第一次访问时创建。这个明显的是被jsp文件自动创建（默认是true哦）session给误导了，其实只有明确的调用 request.getSession()/request.getSession(true)才会生成session。只是大多数人的jsp页面不会明 确加入<%@ page session="false"%>，也不了解这个机制,造成了错误的理解。





(3)-凑热闹的webwork标签

按照前面的方法，将jsp页面加入<%@ page session="false"%>之后，发现还是有新的session会意外的蹦出来。仔细检查action没有操作session，那这次是谁 干的呢？将目光转回jsp文件，首先来次狠的，将这个jsp文件的内容删空为只有纯html内容。重新运行后发现不会自动生成session，ok，问题 在jsp文件里面了。将原来的内容一点点的加回去，反复测试直到session自动创建的问题再次出现, 哈,发现问题出现在webwork的标签上。




这次出问题的a.jsp代码内容为：





  1. <%@ page contentType="text/html; charset=UTF-8" %>
  2. <%@ page session="false" %>
  3. <%@taglib prefix="ww" uri="webwork" %>
  4. <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"
  5. "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  6. <ww:i18n name="'msg'">
  7. <html xmlns="http://www.w3.org/1999/xhtml">
  8. <head>
  9. <title></title>
  10. </head>
  11. <body>
  12. <%=1%>
  13. </body>
  14. </html>
  15. </ww:i18n>
  1. <%@ page contentType="text/html; charset=UTF-8" %> <%@ page session="false" %> <%@taglib prefix="ww" uri="webwork" %>  <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"         "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> <ww:i18n name="'msg'"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title></title> </head> <body> <%=1%> </body> </html> </ww:i18n>

部署到webapp的根目录，在浏览器中直接用http://****/a.jsp访问，通过抓包工具发现有

Set-Cookie: JSESSIONID=abclEpuvWZhHD_UWW7WBr; path=/



将上述文件复制为b.jsp，删除<ww:i18n>标签,代码修改为:



<%@ page contentType="text/html; charset=UTF-8" %>

<%@ page session="false" %>

<%@taglib prefix="ww" uri="webwork" %>

  1. <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"
  2. "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  3. <html xmlns="http://www.w3.org/1999/xhtml">
  4. <head>
  5. <title></title>
  6. </head>
  7. <body>
  8. <%=1%>
  9. </body>
  10. </html>
  1. <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"         "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title></title> </head> <body> <%=1%> </body> </html>

再次测试,发现不再创建session，由此可以确认是webwork的标签所为。



继续追踪为什么webwork的标签会如此处理，还是google大法，很快在webwork的2.2文档中发现了这么一段：



http://wiki.javascud.org/display/ww2cndoc/WebWork+2.2+Migration+Notes



"session map wrapper (在ActionContext里建立的) 已经改变了不在为每个请求创建session. 如果你的应用程序依赖session会被自动创建,WebWork 2.2已经不在那样做了.作为替代,你必须自己创建session或者当把一个数据放到session Map里时session会被创建. "




对照了一下我当前测试的版本, webwork2.1.7，看来是这里了。马上上webwork的网站下了最新的2.2.6版本，最快速度搭建了一个测试环境。将刚才的 a.jsp/b.jsp拉过去测试了以下，ok，果然新的2.2版本修改了原来的做法，不再创建session。搞定！



(4)-为什么要关注session的创建

看到有留言，对我如此“执着”的关注session创建很好奇，解释一下吧。



首先是关注性能，前面提到过session的使用是有代价的，需要在保存在服务器端内容中，每次request.getSeesion()方法获取 session时，实际是在服务器段的一个大的hasp结构中以当前的jsessionid为key，获取对应的value HttpSession对象，这个过程是需要消耗cpu的，当然目前hash算法比较好，这里消耗不那么明显。而一般的应用，消耗的cpu远比这个小开销 大出2-3个数量级，因此通常情况不敏感。如果这个session是我们需要使用的，那么付出这些内存和cpu的代码是完全值得的。但是，如果产生大量的
没有任何用处的"垃圾session"，对大容量，大并发，需要长期稳定运行的系统会带来很无谓的负载。



注意，我们要讨论是"垃圾session"，即是在我们计划外因为某个原因创建，从不使用，完全浪费的session。正常使用的session不在讨论 范围内，虽然也有些比较极端的系统号称不使用session来提高服务器性能，有些对性能比较关注的系统/框架则采用其他的方式来避免使用 session，有兴趣的可以google找资料看。




下面我们来进行一个简单的性能测试，模拟一下比较极端的情况，我在linux下启动resin，只跑两个最简单的jsp文件:



a.jsp不会自动生成session:

  1. <%@ page contentType="text/html; charset=UTF-8" %>
  2. <%@ page session="false" %>
  3. <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"
  4. "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  5. <html xmlns="http://www.w3.org/1999/xhtml">
  6. <head>
  7. <title></title>
  8. </head>
  9. <body>
  10. <%=1%>
  11. </body>
  12. </html>
  1. <%@ page contentType="text/html; charset=UTF-8" %> <%@ page session="false" %>  <!DOCTYPE html PUBLIC "-//W3C/m/DTD XHTML 1.0 Strict//EN"         "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title></title> </head> <body> <%=1%> </body> </html>

b.jsp基本相同，但是设置为<%@ page session="true" %>，这个将自动增加

HttpSession session = request.getSesson(true)

语句，我们进行最恶劣的假设，每次请求都生成新的session，看看会是什么情况：



测试工具采用loadrunner，部署在我的笔记本上（dell d620机器，intel 双核 2g内存）。测试比较简单，测试方法和过程忽略（loadrunner的使用也不复杂），只给出结果：




测试中两个场景的运行情况相同：100个线程并发，每次只访问一下a.jsp/b.jsp，运行时间2分钟。使用top命令在服务器段看resin的内存消耗和cpu使用情况，这个只能大概估计，不好准确衡量。




补充：第一次测试时忘了设置resin的<session-max>参数了，后来写了一个sessionLinstener做计数 器， resin的默认没有配置session-max，这个时候resin取的值是默认4096，计数器打印日志发现session总数达到4096后，就会 remove掉已经存在的session以保证不超过4096.下面的测试数据时将session-max设置为4096000后测试的结果




测试1：

a.jsp 不生成session

resin内存消耗始终是在175-177之间，基本没有变化。cpu基本稳定在19%-22%。

测试2：

b.jsp 每次生成session

resin内存消耗从181m逐步增加，到2分钟测试结束时达到283m，大概增加了102M。cpu大体在25%-30%间。



下面可以总结了：

1. 垃圾session会占用内存

上面只测试了2分钟，考虑通常session的超时时间会是30分钟，这意味着这些占据的内存至少要到30分钟之后resin才能判定超时从resin的session hash结构出移除，之后再被jvm回收。




创建的session总数为202941，102M内存/202941次请求= 527字节/session，这个数据比较粗糙，但是还是能大体反映问题。一个垃圾session大概要浪费我们0.5k的内存，时间长达30分钟。




2. 垃圾session的调用消耗了cpu资源

HttpSession session = request.getSesson(true)，每次都要new出新的HttpSession对象，然后resin还要给这个HttpSession算 出一个jsessionid，再将jsessionid/session以key/value保存到hash结构中。以后resin检查session超 时的线程每次检查时都要查看每个垃圾session，看是否超时。




3. 垃圾session增加正常获取session的开销

前面提到垃圾session也是要保存hash结构中，request.getSesson()每次都要用jsessionid在这个hash结构中取一 次数据。当垃圾session大量充斥时，获取当正常有用的session的时间也会增加，具体就要看这个hash结构的算法如何了。




当前上述的测试都是建立在最苛刻最恶劣的情况下，大多数情况我们的系统不会这么糟糕，也不是每个系统都对访问量/性能有高要求。如果觉得可以浪费的起，那浪费好了，只是我这边系统的情况不同，我们的产品对性能很敏感，能省就省点。




除考虑性能外, session的创建在我们新设计的系统中,是必须非常严格控制的.这个和我们目前的系统结构,包括部署/用户身份认证有关.简单的说我们的系统是基于 apache + resin的多机分布, 各个功能模块是作为不同的webapp发布的,session的生成和jsessionid的传递必须可控，因此我必须严格掌控系统中session的生 成情况。




另外说一点个人意见，知不知道有这些session自动创建的情况，和决定是否要在自己的代码中严格控制session创建，不是同一个概念。完全可以在 了解情况后，根据自己的实际需要和个人习惯去做决定，比如选择无视。但是如果不知道呢？呵呵，很惭愧，在这次探索之前，我对jsp/webwork标签自 动生成session是没有概念的，我们的原有系统是不使用HttpSession的（和当时的分布式方案有关），但是现在看来，由于 jsp/webwork标签的存在，其实每次都有session被创建，这些session也就成了我上面说的垃圾session:
在不需要创建时意外创建，从来不使用，除了浪费资源外没有其他存在价值。



整理一下留言中的内容，感谢大家的关注：

疑问：

我觉得系统的瓶颈不会出在session生成上 ,花时间在后台缓存和sql优化、架构调整这些事情上来的实惠.

回答：

滴水的水龙头要不要拧紧的问题？



没有哪个家庭的财政会因为那个滴水的水龙头造成收支失衡以致破产，那是否就意味着可以无视它的存在，只管专心挣钱，再每个月少吃一次大餐？后台缓存和 sql优化、架构调整，这些当然是更重要的，但不意味着其他东西就可以完全忽略。我无意强调session的这些细节的高度，只是希望告诉大家，在某些角 落里，有些我们没有意识到的小水龙头，在一滴一滴的浪费资源。




后台缓存和sql优化、架构调整，到处可以找到资料。可是我google了一圈，上述session的几个问题根本没有成文的全面一点的资料可以参考，我相信jsp世界中肯定还有很多很多类似的小水龙头在悄悄地滴水，而主人们根本没有看见。




ps: 这个系列的文章最初发在blogjava，现在复制到javaeye(担心哪天某家blog不在了丢失文章)，感觉这个话题很少看到有人谈起，我斗胆发到论坛上来看看，是否有人和我持有相同的看法。

session效率的更多相关文章

  1. Asp.net 实现Session分布式储存(Redis,Mongodb,Mysql等) sessionState Custom

    对于asp.net 程序员来说,Session的存储方式有InProc.StateServer.SQLServer和Custom,但是Custom确很少有人提及.但Custom确实最好用,目前最实用和 ...

  2. 分布式Session一致性解决方案有哪些？

    1.使用cookie代替session(不安全,不推荐使用) 2.使用数据库存储session(效率低,不推荐使用) 3.使用nginx反向代理ip绑定方法,同一个ip只能在同一台服务器上进行访问(不 ...

  3. Nhibernate的Session和StatelessSession性能比较

    Nhibernate的Session和StatelessSession性能比较 作者:Jesai 一个月入30K的大神有一天跟我说:我当年在你现在这个阶段,还在吊儿郎当呢!所以你努力吧! 有时候,一个 ...

  4. Streaming 101

    开宗明义!本文根据Google Beam大神Tyler Akidau的系列文章<The world beyond batch: Streaming 101>(批处理之外的流式世界)整理而成 ...

  5. 懒加载session 无法打开 no session or session was closed 解决办法（完美解决）

           首先说明一下,hibernate的延迟加载特性(lazy).所谓的延迟加载就是当真正需要查询数据时才执行数据加载操作.因为hibernate当中支持实体对象,外键会与实体对象关联起来.如 ...

  6. 分布式中使用Redis实现Session共享(二)

    上一篇介绍了一些redis的安装及使用步骤,本篇开始将介绍redis的实际应用场景,先从最常见的session开始,刚好也重新学习一遍session的实现原理.在阅读之前假设你已经会使用nginx+i ...

  7. Cookie和Session的总结

    1.开篇 在之前学习这一段的时候我一直有点没弄清楚,其实对Session这块的理解还可以,但是Cookie感觉始终还是欠缺点火候.之后的很长一段时间都基本上很少用Cookie了,渐渐的也淡忘了这一块的 ...

  8. Android测试提升效率批处理脚本（三）

    前言: 前面放出过几次批处理,这次只放一个环境检查的被管理员给打回来了,不得不再找找几个有含金量的放出来,请看正文~~~ 目录 1.Android环境检查 2.Android内存监控 3.模拟蓝牙手柄 ...

  9. session 存入数据库 php

     session 机制 1.php中session的生成机制 session是保存在服务器的,当我们在代码中调用session_start();时,PHP会同时往SESSION的存放目录(默认为/tm ...

随机推荐

  1. Android Material Design（一）史上最全的材料设计控件大全

    主要内容: 本文将要介绍Material design和Support library控件,主要包括TextInputLayout.SwitchCompat.SnackBar.FloatingActi ...

  2. springMVC源码分析--访问请求执行ServletInvocableHandlerMethod和InvocableHandlerMethod

    在之前一篇博客中springMVC源码分析--RequestMappingHandlerAdapter(五)我们已经简单的介绍到具体请求访问的执行某个Controller中的方法是在RequestMa ...

  3. java基础知识——网络编程、IO流

    IO流 字节流:处理字节数据的流对象,计算机中最小数据单元就是字节.InputStream OutputStream 字符流:字符编码问题,将字节流和编码表封装成对象就是字符流.Reader Writ ...

  4. 20 ViewPager Demo3指示器

    MainActivity.java package com.qf.day20_viewpager_demo3; import java.util.ArrayList; import java.util ...

  5. ThreadLocal的使用[代码片段]

    1.ThreadLocal定义,在一个类中定义: 在类A中: private static ThreadLocal<String> kcsHtmlPath = new ThreadLoca ...

  6. 自定义控件辅助神器ViewDragHelper

    ViewDragHelper作为官方推出的手势滑动辅助工具,极大的简化了我们对手势滑动的处理逻辑,v4包中的SlidingPaneLayout和DrawerLayout内部都有ViewDragHelp ...

  7. adb -s 设备名 设备名还有非法字符

    当有多台安卓设备在同一电脑上时 想敲adb控制某一个设备 需要如下格式 adb -s 设备名 设备名 可以用adb devices获取 当发现adb devices 获取的名字是特别长而且含有非法字符 ...

  8. 【java集合框架源码剖析系列】java源码剖析之ArrayList

    注:博主java集合框架源码剖析系列的源码全部基于JDK1.8.0版本. 本博客将从源码角度带领大家学习关于ArrayList的知识. 一ArrayList类的定义: public class Arr ...

  9. INV 调试: 如何获取库存物料事务处理调试信息

     1. 按如下方式设置系统配置文件值: 系统配置文件值 地点/用户/应用/职责层配置文件值 --汇总 FND: 启用调试日志   是 FND:调试日志层级   陈述 INV: 调试跟踪: 是 IN ...

  10. Mybatis简单入门

    MyBatis是一个支持普通SQL查询,存储过程和高级映射的优秀持久层框架.MyBatis消除了几乎所有的JDBC代码和参数的手工设置以及对结果集的检索封装.MyBatis可以使用简单的XML或注解用 ...