Session和Cookie,以及用户登录验证问题。
参考 :https://blog.csdn.net/u010002184/article/details/79416199
https://www.bbsmax.com/A/RnJW72YJqY/
首先Session和Cookie的区别最大的是Session是存储与服务器里面,服务器会指定一个jsessionid给一次session,而Cookie的作用是用于和服务器协商好的一些缓存,其中包括jsessionid。我们本地使用的时候,通过使用cookie的jsessionid就可以让服务器知道是“我们”在使用,如果浏览器禁用了cookie的话,ssm框架会以url的形式传递。
session不是一打开网站就会立刻建立。
它的建立需要基于下面两个条件中的任意一个:
1:在servlet中手动调用
HttpSession session = request.getSession();
或者
HttpSession session = request.getSession(true);
2:jsp中没有写<%@ page session="false"%>
(默认情况下它是<%@ page session="true"%>的)
Cookie中的属性
属性:
name:必要属性,cookie的名称。
value:必要属性,cookie的值(不能是中文)
---------------------------可选属性---------------------------------
path:cookie的路径(重要)
domain:cookie的域名(重要),相当于访问的网站(localhost)
maxAge:cookie的生存时间(相当于生命周期的活着)(比较重要),
当删除cookie时,设置该值为0。
当不设置该值时,使用的是浏览器的内存,当关闭浏览器之后,cookie将丢失。设置了此值,就会保存成缓存文件(值必须是大于0的,以秒为单位)。
version:cookie的版本号。(不重要)
comment:cookie的说明。(不重要)
在web应用中如何设置和获取Cookie
定义一个Cookie
Cookie cookie = new Cookie(cookieName,cookieValue);
HttpServletRequest 获取 Cookie
Cookie[] cookies = request.getCookies();
该方法返回的是一个数组。(为什么是数组呢,方便,可以直接拿到与该请求相关的所有cookie)
HttpServletResponse 添加Cookie
response.addCookie(cookie);
添加一个cookie,其实就是添加一个响应消息头
response.setHeader("Set-Cookie","name=value;path=;maxage=;domain=");
(为什么没有set方法,原因是set就会把之前的覆盖,所以每次都是添加)。
如何确定一个唯一的cookie:cookieName+cookiePath+cookieDomain
定位一个cookie是由 cookie的名称和路径,主机(访问的资源)三部分组成
流程走向
1)第一次请求服务器:
浏览器的请求头信息
Host | localhost |
User-Agent | Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6 |
Accept | text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 |
Accept-Language | zh-cn,zh;q=0.5 |
Accept-Encoding | gzip,deflate |
Accept-Charset | GB2312,utf-8;q=0.7,*;q=0.7 |
Keep-Alive | 115 |
Connection |
|
在下图
在下图
服务器响应头信息
Server | Apache-Coyote/1.1 |
Set-Cookie | JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB; Path=/ |
Content-Type | text/html;charset=UTF-8 |
Content-Language | zh-CN |
Content-Length | 242 |
Date | Mon, 28 Jun 2010 02:35:29 GMT |
(2)第二次请求服务器:
浏览器的请求头信息
Host | localhost |
User-Agent | Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.6) Gecko/20100625 Firefox/3.6.6 |
Accept | text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 |
Accept-Language | zh-cn,zh;q=0.5 |
Accept-Encoding | gzip,deflate |
Accept-Charset | GB2312,utf-8;q=0.7,*;q=0.7 |
Keep-Alive | 115 |
Connection | keep-alive |
Cookie | JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB |
服务器响应头信息
Server | Apache-Coyote/1.1 |
Content-Type | text/html;charset=UTF-8 |
Content-Language | zh-CN |
Content-Length | 242 |
Date | Mon, 28 Jun 2010 02:37:51 GMT |
重复第三次,每四次...第N次请求服务器,浏览器和服务器的请求头信息都是与第二次请求服务器是一样的。
(3)但是,如果你在服务器端加入如下一行代码:
Log.info("SessionId:" + request.getSession().getId());
你会看到,当你第一次请求服务器时,就会默认有一个新的session被创建,而且在session的有效时间范围内,这个输出值是不会变的,否则,服务器会重新创建一个session,自然,sessionId也就不同了,这段代码的输出自然也会不同了。
(4)你必须注意这一点:你用的是浏览器与服务器通信:
有一些事情是浏览器帮助我们去做了,那就是:当你第一次与服务器通信时,浏览器会保存服务器返回的Set-Cookie这个健的值(JSESSIONID=64D21B4D69DFB3041B6375C1932BD6CB
),只要你不关闭浏览器(彻底关闭,关闭选项卡不算),浏览器会从第二次向服务器发出请求开始,一直带上这个键值对,发给服务器。服务器就会知道,这是同一个人(同一个会话)发起的请求。
(5)我们再注意一下:request.setAttribute("sysuser",userInfo)这句话:
当你第一次请求服务器时,这句代码会根据服务器默认产生的session得到ID,并与sysuser=userInfo这个键值对挂上钩(当然,userInfo可以是任何对象),保证唯一关联,检测用户是否登录就是这样实现的。
我一定要声明一点:保持一个会话与用户是否登录是没有任何关系的。
(6)再次引深一下,如果你用的不是浏览器,比如说做J2ME开发,怎样保持会话呢?
(1)在你写完这行代码后:HttpConnection hc = (HttpConnection)Connector.open(httpURL),加入以下代码:(Constant.sessionID只是一个静态变量)
- //在与服务器通信前设置sessionId,维持唯一的一个会话
- if (Constant.sessionID != null) {
- hc.setRequestProperty("Cookie", AppContext.CurrentAppContext.sessionID);
- }
(2)A:只向服务器读数据,不向服务写数据,B:先向服务器写数据,再从服务器读数据
对于这两种情况,只要你第一次打开openDataInputStream(),这可以加入以下代码(Constant.isLogin只是一个静态变量boolean):
- //每次与服务器通信后,保存 sessionId
- String cookie = hc.getHeaderField("Set-Cookie");
- if (cookie != null) {
- String jsessionId = cookie.substring(0,cookie.indexOf(";"));
- if(Constant.sessionID != null && !Constant.sessionID.equals(jsessionId) && Constant.isLogin ){
- Log.info("sessionid超时, will get new sessionid, but you must login again");
- //设置为未登录状态
- Constant.isLogin = false;
- }
- Constant.sessionID = jsessionId;
- }
这样就可以保持一个会话了。
(7)最后,关于URL重定向
引用一段话:sun帮我们想到了,所以提供了2个方法来使事情变得简单:response.encodeURL()和response.encodeRedirectURL()。这2个方法会判断cookie是否可用,如果禁用了会解析出url中的jsessionid,并连接到指定的url后面,如果没有找到jessionid会自动帮我们生成一个。至于为什么要有2个方法?这2个方法有什么不同?google了一下,说是这2个方法在判断是否要包含jsessionid的逻辑上会稍有不同。在调用 HttpServletResponse.sendRedirect前,应该先调用encodeRedirectURL()方法,否则可能会丢失 Sesssion信息。这2个方法的使用方法如:response.sendRedirect(response.encodeURL("/myapp /input.jsp"));。如果cookie没有禁用,我们在浏览器地址栏中看到的地址是这样的:/myapp/input.jsp,如果禁用了 cookie,我们会看到:/myapp /input.jsp;jsessionid=73E6B2470C91A433A6698C7681FD44F4。所以,我们在写web应用的时候,为了保险起见,应该在程序里的每一个跳转url上都使用这2个方法,来保证session的可用性。
最后以我现在易联众的公司做猜测
在web里面自定义一个filter,给filter指派自己的过滤类
<filter>
<filter-name>UnitFilter</filter-name>
<filter-class>com.ylzinfo.sso.filter.UnitFilter4Cas</filter-class>
</filter>
附上过滤类的代码
public class UnitFilter implements Filter { private Logger logger = LoggerFactory.getLogger(UnitFilter.class); @Override
public void destroy() { } @Override
public void doFilter(ServletRequest req, ServletResponse resp,
FilterChain chain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) req;
HttpServletResponse response = (HttpServletResponse) resp;
UserHelper.init(request, response);
UnitUser user = (UnitUser) UserHelper.currentUser();
if(user == null){
SSOToken token = SSOHelper.getToken(request);
String userdata = null;
if (token == null) {
SSOHelper.clearRedirectLogin(request, response);
return;
} else {
request.setAttribute(SSOConfig.SSO_TOKEN_ATTR, token);
// 登陆用户相关信息,以json形式
userdata = token.getData();
}
// 解析单点登录token的登录实体json
Map map = JSON.parseObject(userdata, Map.class);
try {
AjaxResponse ajax = EsbUtil.call(Zfbt.SYNC_UNIT_FOR_SSO, map);
if(ResponseCode.SUCCESS.equals(ajax.getCode())){
// UnitUser unitUser = new UnitUser((Map) ajax.getData().get(0));
UnitUser unitUser = null;
UserHelper.setUser(unitUser);
}else{
throw new AppException(ajax.getMessage());
}
} catch (AppException e) {
logger.info("登录异常!", e);
req.setAttribute("error", e.getMessage());
request.getRequestDispatcher("/WEB-INF/jsp/sso-login-error.jsp").forward(req, resp);
return;
}
}
/*检查单位信息是否确认*/
user = (UnitUser) UserHelper.currentUser();
String uri = request.getRequestURI();
if(!uri.endsWith("/unit/zfbt/savecompany") && !isUnitInfoConfired(user)){
toUnitConfirmPage(request, response);
return;
}
chain.doFilter(req, resp);
} @Override
public void init(FilterConfig config) throws ServletException { } private boolean isUnitInfoConfired(UnitUser user){
if(CodeUtil.UNITPROPERTY_QY.equals(user.getDwxz())){ //企业
return !StringUtils.isEmpty(user.getSshy());
}else if(CodeUtil.UNITPROPERTY_SY.equals(user.getDwxz())){ //事业单位
return !StringUtils.isEmpty(user.getSshy()) && !StringUtils.isEmpty(user.getZgdwid());
}else{ //其他类型单位不确认
return true;
}
} private void toUnitConfirmPage(ServletRequest req, ServletResponse resp) throws ServletException, IOException {
UnitUser user = (UnitUser) UserHelper.currentUser();
RequestDispatcher rd = null;
if(CodeUtil.UNITPROPERTY_QY.equals(user.getDwxz())){//企业跳转
rd = req.getRequestDispatcher("/WEB-INF/jsp/zfbt/companymsg.jsp");
}else if(CodeUtil.UNITPROPERTY_SY.equals(user.getDwxz())){//事业单位
rd = req.getRequestDispatcher("/WEB-INF/jsp/zfbt/institutionmsg.jsp");
}else{
rd = req.getRequestDispatcher("/WEB-INF/jsp/zfbt/officemsg.jsp");
}
req.setAttribute("user", user);
rd.forward(req, resp);
}
}
这里利用到了token技术,目前我的水平达不到,所以只能做猜测,当我们访问地址的时候,被拦截下来查看用户是否合法,然后在request里面添加用户user,这样后端或者前端的就可以获取用户的数据。
Session和Cookie,以及用户登录验证问题。的更多相关文章
- cookie实现用户登录验证
cookie实现用户登录验证 1, INSTALLED_APPS中注册app03 2,在主程序中新建映射关系到app3的url中 from django.conf.urls import url,in ...
- Asp.net MVC访问框架页中嵌套的iframe页面时,如果session或cookie过期,登录验证超时怎样自动跳转到登录页
一般登录验证的过滤器中,使用验证过滤器的Redirect方法,将请求重定向到指定的URL.但是如果我们要访问的页面是一个嵌套在框架页中的iframe页面时,这种重定向只会对iframe页面凑效,也就是 ...
- 使用session和cookie实现用户登录:一个登录页面,一个servlet,一个登录成功页面
文件目录 1.登录页面 <%@ page language="java" contentType="text/html; charset=utf-8" p ...
- 基于cookie的用户登录状态管理
cookie是什么 先来花5分钟看完这篇文章:https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Cookies 看完上文,相信大家对cookie已经有 ...
- 如何使用Django实现用户登录验证
最初开始搞用户登录验证的时候感觉没什么难的,不就是增删改查中的查询数据库么,但是还是遇到许多小问题,而且感觉在查询数据库的时候,要把前端的数据一条一条的进行比对,会导致我的代码很丑,而且方式很不智,所 ...
- django 从零开始 8 用户登录验证 待测
看文档 djang 自带一个用户登录验证的方法,不过有些看着懵逼,去网上找了一圈,发现很多都是照抄文档说明的,几乎没说啥原理 特别是 from django.contrib.auth import a ...
- android loginDemo +WebService用户登录验证
android loginDemo +WebService用户登录验证 本文是基于android4.0下的loginActivity Demo和android下的Webservice实现的.l ...
- Session小案例------完成用户登录
Session小案例------完成用户登录 在项目开发中,用户登陆功能再平常只是啦,当用户完毕username和password校验后.进入主界面,须要在主界面中显示用户的信息,此时用ses ...
- Python程序练习1-模拟用户登录验证
1.功能简介 此程序模拟用户登录验证的过程,实现用户名输入.黑名单检测.用户有效性判别.密码输入及验证等.用户在3次以内输入正确密码登陆成功,连续输错3次密码登陆失败,且该用户名被记录在黑名单,黑名单 ...
- djangorestframework-jwt自带的认证视图进行用户登录验证源代码学习
Django REST framework JWT djangorestframework-jwt自带的认证视图进行用户登录验证源代码学习 SECRET_KEY = '1)q(f8jrz^edwtr2 ...
随机推荐
- KM算法 带权二分匹配 O(n^3)
#include<cstdio> #include<cstdlib> #include<cstring> #include<string> #inclu ...
- P3911 最小公倍数之和
终于找到了一个只会用[gcd(i,j)==1] = sigema d|gcd(i,j) mu(d) 做不了的题. 考虑枚举gcd后. 此时,ans可以表示为一个 sigema x f(x)的形式. 考 ...
- C# 有哪些集合
队列[Queue] //队列:先进先出 /* *增加元素到队列结尾处 *移除队列开始处 */ Queue queue=new Queue(); queue.Enqueue(Object); queue ...
- python-django rest framework框架之序列化
序列化与反序列化: 对象 -> 字符串 序列化 字符串 -> 对象 反序列化 rest framework序列化+Form 目的: 解决QuerySet序列化问题 功能:解析 和 过滤 - ...
- 使用vue-router设置每个页面的title
进入 router 文件夹底下的index.js文件 首先引入: import Vue from 'vue' import Router from 'vue-router' 然后在路由里面配置每个路由 ...
- UI基础五:简单的OP组件POPUP搜索帮助
需求:给一个配置表,需要根据配置表来弹出选择框,并将选择的数据添加到SALES ORDER的项目 BSP_WD_CMPWB 新建组件:ZHSI_JPMPG 新建视图,适用VALUE NODE 参考表Z ...
- IO多路复用和协程
1.IO多路复用 作用:检测多个socket是否已经发生变化(是否连接成功/是否已经获取数据) 什么是进程.线程.协程以及它们的区别? 进程是资源分配的最小单元,其作用是进行数据隔离, 线程是cpu调 ...
- kaggle信用卡欺诈看异常检测算法——无监督的方法包括: 基于统计的技术,如BACON *离群检测 多变量异常值检测 基于聚类的技术;监督方法: 神经网络 SVM 逻辑回归
使用google翻译自:https://software.seek.intel.com/dealing-with-outliers 数据分析中的一项具有挑战性但非常重要的任务是处理异常值.我们通常将异 ...
- MySQL设置白名单教程
1 登录mysql mysql -h host -u username -p password 2 切换至mysql库 use mysql; 3 查看当前允许登录IP及用户 select Host,U ...
- vue 跳外链
var host = window.location.host;var protocal = window.location.protocolwindow.location.href = protoc ...