单点登录与权限管理本质：session和cookie介绍

本篇开始写「单点登录与权限管理」系列的第一部分：单点登录与权限管理本质，这部分主要介绍相关的知识概念、抽象的处理过程、常见的实现框架。通过这部分的介绍，能够对单点登录与权限管理有整体上的了解，对其相关概念、处理流程、常见实现有个基本的认识。

本篇文章介绍下session和cookie，它是登录实现的基础，主要从下面几个方面介绍：

session和cookie基本概念
session的生命周期
cookie的作用域

cookie的跨域问题会在后续文章单独介绍。

基本概念

大部分系统都需要识别用户的身份，有些功能只有特定的用户能使用，有些功能需要根据用户身份显示不同的内容，一般使用唯一编号标识用户的身份。

就像我们的×××，×××号是每个人唯一的，根据所在的省市区、出生年月、性别等规则生成，我们去政府机构办事时，都需要带着×××，他们通过×××验证我们的身份。

session和cookie主要用来识别登录者身份的，默认通过JSESSIONID唯一编号进行验证。session是在服务端保存的一个数据结构，用来跟踪用户的状态，也可以保存用户相关的一些数据，可以保存在内存、缓存、数据库等存储结构中。cookie是客户端保存用户信息的一种机制。

servlet session

javax.servlet.http包中是session的主要API接口，主要有以下几种接口：

HttpSession：实际的session接口定义；
Listener：session发生一些动作，如创建，设置属性，失效等，会触发一些事件，进行相应的处理；
Event：当动作触发之后，封装为对应的事件；

session相关的接口，一般由应用服务器来实现，比如Tomcat、Resin、Jetty。Session的主要特征：

可以设置和获取一些属性；
每个session对应一个编号sessionId，是一次会话的唯一表示；
session有超时时间，用户长时间无操作，维护的定时器会清除session，保证资源及时释放；
可以通过调用invalidate方法主动清除session；

在tomcat中，HttpSession的实现是StandardSession，同时StandardSession会实现自定义的Session接口，它是对HttpSesion一个包装。

另外，tomcat会实现session的管理和持久化，可随时获取到对应的session，具体实现不在本篇分析，网上有很多文章介绍。

cookie

cookie是客户端的解决方案，是服务器发给客户端的特殊信息，这些信息以文本文件的方式存放在客户端，后续请求，客户端都会带上这些特殊的信息。

服务端通过HTTPResponse设置cookie到响应头，发送到客户端，后续客户端自动将cookie信息设置到请求头。下面是我登录百度后的cookie信息：

cookie也有失效时间，可在服务端通过cookie.setMaxAge(expiry)进行设置，expiry=-1：代表浏览器关闭后，cookie就失效了；expiry>0：代表会将cookie保存到硬盘中，直到设置时间过期才会被浏览器自动删除；expiry=0：删除cookie，cookie都会被浏览器给删除。

另外还有其他几个特性：