Mr. 8的單身日記

Session 

我們先想像一下：

甲是某個網站的會員，他要登入網站線上購物，他在logon.jsp打上他的帳號密碼，認證通過後，伺服器把它丟到list.jsp瀏覽網站上的貨物，當他選好要買的貨物後要訂購了，伺服器又把它丟到buy.jsp處理訂貨的事宜。甲這個人只在login.htm打上帳號密碼，伺服器透過login.jsp確認甲是個合法註冊的會員，但是list.jsp和buy.jsp使用者不需要打帳號密碼，伺服器要如何確認現在進來的甲還是乙？又或者有人根本就不從login.jsp進入網站，他直接從list.jsp或buy.jsp進來，那不就避過了帳號密碼的檢查？

要解決這個問題，方法有很多，可以用html語法的<input type="hidden">的方法，或者是用cookie，但是以上兩種方法的安全性還不夠，應該用session來解決這個問題。剛才的問題，如果以session的流程來看，甲透過login.jsp進入網站，伺服器會給他一個獨一無二的編號證明他就是甲(就好像每個人都有身份證字號，而且都不會重覆)，如果是乙進來話，伺服器也給他一個獨一無二的編號。這個獨一無二的編號就是sessionID。這個sessionID會被送到使用者的瀏覽器內，當使用者到瀏覽其他網頁時，瀏覽器會把這個sessionID送到伺服器，伺服器便可以比對現在來的是甲或是乙。

1. 如果你想要看你的sessionID長什麼樣子，語法應該這麼寫 session.getId();


2. 甲或乙進入網站，伺服器都會分配每個人一個session物件，每個人都不會重覆，甲是會員，輸入了帳號密碼後順利通過驗證，這個伺服器可以在他的session上做個記號，表示他通過了驗證， session.setAttribute("LogOk","yes"); 這個意思是說，伺服器在甲的session內放了一個LogOk的屬性，它的值是"yes"。當然也還可以放別的東西，譬如說把甲輸入的帳號密碼放進去 session.setAttribute("userid","甲所輸入的帳號"); session.setAttribute("userpass","甲所輸入的密碼"); (這些Attribute的資訊都是存在Server內，不會被送到使用者的瀏覽器內，會送到瀏覽器的只有sessionID而已。如此才能保障相關資料不被人竊取。) 甲通過驗證後，伺服器便把它導向到list.jsp做處理。(response.sendRedirect("list.jsp");)乙不是會員，當他從logon.jsp進去後，沒辦法通過驗證，於是被導向回login.jsp重新輸入密碼(response.sendRedirect("logon.jsp");)


3. 甲被導向到list.jsp，list.jsp怎麼知道甲通過了驗證，而且怎麼證明它是甲呢？可以透過下面方法把剛才在session上所做的記號取出來 String LogOk=(String)session.getAttribute("LogOk"); String userid=(String)session.getAttribute("userid"); String userpass=(String)session.getAttribute("userpass"); 透過getAttribute取得LogOk的值，去檢查一下LogOk是否等於"yes"就知道這個人有沒有通過驗證了，另外也取得了甲輸入的帳號及密碼，可以去資料庫比對現在進來的是否是甲這個人。 (要注意的是session.getAttribute("")的前面，在這個例子來講，要加(String)，因為透過setAttribute的方式存進session內的是個物件(Object)，取出來時，要明確告訴java它是什麼物件，所以要用(String)session.getAttribute("LogOk")。同理，如果在存進session時是是存一個ResultSet，那取出來便要用(ResultSet)session.getAttribute("....");) 而乙這個人呢，還不死心，logon.jsp進不來，他還想駭進來，直接打list.jsp，同樣的，程式從session內找出是否有LogOk，它的值是不是等於"yes"，如果不是，很抱歉，又把它導回到login.jsp。

透過session的方式，可以做到對同一個使用者在不同的網頁之間資料的分享。基本上來說，tomcat對每一個網頁進來的人都會建立session，其有效時間內定為30分鐘，如果超過三十分鐘使用者都沒有再瀏覽任何網頁，其sessionID便會失效，當然在session內所設定過屬性也會消失。使用者再重新進來，便是另一個session了。
以下的session方法，各位可以參考看看：
session.setAttribute("屬性名",屬性值)----將資料存入session
session.getAttribute("屬性名");----從session取得資料
session.setMaxInactiveInterval("秒數");---設定session的有效執行時間(單位：秒)
session.getMaxInactiveInterval();----取得session的有效執行時間(單位：秒)
session.isNew();----判斷這個session是不是新的，是的話傳回true,否則傳回false
session.invalidate();----強制session中斷，常用在使用者登出時
session.getCreateTime();----取得session建立的時間，其值為long值。
session.getLastAccessedTime();----取得session最後的存取時間

另外，如果有些網頁，根本就不需要建立session，要如何把它關掉？應該在page的地方設定session="false" 例：<%@ page contentType="text/html;charset=big5" session="false" %>
如此，這個網頁便不會建立任何session物件

Application

在一個web應用程式中(通常一個資料夾就是一個應用程式)會產生一個application物件，這個應用程式有許多的jsp網頁，這些jsp網頁都會存取同一個application物件，即使使用者不是同一個，也會存取相同的application物件，因此，application物件可以跨網頁分享資料，也可以跨不同連線(不同的人)分享資料。 application的用法

1. 將資料存入application   application.setAttribute("屬性名稱",屬性值);


2. 從application取出資料   application.getAttribute("屬性名稱"); 其傳回值就是取回的資料，不過傳回值是物件型態(Object)，需要轉換成正確的物件 型態才可使用，例如String str=(String)application.getAttribute("屬性名稱");


3. application資料的移除   application.removeAttribute("屬性名稱"); 以下部份程式碼示範如何製作文字計數器

<%
String strcount=(String)application.getAttribute("count");
//從application中取得count的值，並將它轉成String物件
  if (strcount==null)
     strcount="0";
  //檢查appliacion是否有count的值，若沒有，得出來的東西是null值，所以strcount給初值0
  int count=Integer.parseInt(strcount)+1;
  //將strcount轉成int並加1，將其值給count變數
  strcount=String.valueOf("count");
  //再將count值轉換成字串交給strcount
  application.setAttribute("count",strcount);
  //將新的strcount的值再設定回application中，讓其他人知道count值已改變
  out.println("你是第"+strcount+"來訪的客人");
  //將加１後的數字顯示在網頁上
%>