Cookie与Session

　　会话跟踪是Web程序常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie和Session。Cookie通过在客户端记录信息确定用户身份，Session通过在服务端记录信息确定用户身份。

　　理论上，一个用户的所有请求操作都应该属于同一个会话，而另一个用户的所有请求操作则应该属于另一个会话，二者不能混淆。

　　而Web应用程序是使用HTTP协议传输数据的。HTTP是无状态协议，一旦数据交换完，客户端与服务端的连接就会关闭再次交换数据需要建立新的连接。因此，要跟踪该会话，必须要也引入一种机制。Cookie就是这样的一种机制。它可以弥补HTTP协议无状态的不足。在Session出现之前，基本上所有的网站都采用Cookie来跟踪会话。

　　由于HTTP是一种无状态的协议，服务器单从网络连接无从知道客户身份。怎么办呢？就给客户端们颁发一个通行证吧，每一个人，无论是谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了。这就是Cookie的工作原理。

　　Cookie实际上是一小段的文本信息。客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个Cookie。客户端浏览器会把Cookie保存起来。当浏览器再请求该网站时，浏览器把请求的网址连同该Cookie一同提交给服务器。服务器检查该Cookie，以此来辨认用户状态。服务器还可以根据需要修改Cookie的内容。

　　Java中把Cookie封装成了javax.servlet.Cookie类。每个Cookie都是该Cookie类的对象。服务器通过操作Cookie类对象对客户端Cookie进行操作。通过request。getCookie()获取客户端提交的所有Cookie（以Cookie[]数组形式返回）,通过response.addCookie(Cookie cookie)向客户端设置Cookie。

　　Cookie对象使用key-value属性对的形式保存用户状态，一个Cookie对象保存一个属性对，一个request或者response同时使用多个Cookie。因为Cookie类位于包javax.servlet.http.*下面，所以JSP中不需要import该类。

　　很多网站都会使用Cookie。例如，Google会向客户端颁发Cookie，Baidu也会向客户端颁发Cookie。那浏览器访问Google会不会也携带Baidu颁发的Cookie呢？或者Google能不能修改Baidu的Cookie呢？答案是否定的。Cookie具有不可跨域名性。根据Cookie规范，浏览器访问Google只会携带Google的Cookie，而不会携带Baidu的Cookie。Google也只能操作Google的Cookie，而不能操作Baidu的Cookie。

　　Cookie在客户端是由浏览器来管理的。浏览器能够保证Google只会操作Google的Cookie而不会操作Baidu的Cookie，从而保证用户的隐私安全。浏览器判断一个网站是否能操作另一个网站Cookie的依据是域名。Google与Baidu的域名不一样，因此Google不能操作Baidu的Cookie。

　　需要注意的是，虽然image.google.com与网站www.google.com同属于Google，但是 域名不一样，二者同样不能互相操作彼此的Cookie.