Tomcat中的Session與Cookie深入講解

// 設(shè)置 Cookie
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Set-Cookie: JSESSIONID=56AE5B92C272EA4F5E0FBFEFE6936C91; Path=/examples
Date: Sun, 12 May 2019 01:40:35 GMT

// 提交 Cookie
GET /examples/servlets/servlet/SessionExample HTTP/1.1
Host: localhost:8080
Cookie: JSESSIONID=56AE5B92C272EA4F5E0FBFEFE6936C91

CoyoteAdapter.service(Request, Response)
└─CoyoteAdapter.postParseRequest(Request, Request, Response, Response)
 └─CoyoteAdapter.parseSessionCookiesId(Request, Request)
 └─Cookies.getCookieCount()
 └─Cookies.processCookies(MimeHeaders)
 └─Cookies.processCookieHeader(byte[], int, int)

private void processCookieHeader( String cookieString ){
 // 多個 cookie 值以逗號分割
 StringTokenizer tok = new StringTokenizer(cookieString, ";", false);
 while (tok.hasMoreTokens()) {
  String token = tok.nextToken();
  // 獲取等號的位置
  int i = token.indexOf("=");
  if (i > -1) {
   // 獲取name 和 value 并去除空格
   String name = token.substring(0, i).trim();
   String value = token.substring(i+1, token.length()).trim();
   // RFC 2109 and bug 去除兩頭的雙引號 "
   value=stripQuote( value );
   // 從內(nèi)部 cookie 緩存池中獲取一個 ServerCookie 對象
   ServerCookie cookie = addCookie();
   // 設(shè)置 name 和 value
   cookie.getName().setString(name);
   cookie.getValue().setString(value);
  } else {
   // we have a bad cookie.... just let it go
  }
 }
}

protected Session doGetSession(boolean create) {
 ...
 // 創(chuàng)建 Session 實例
 if (connector.getEmptySessionPath() && isRequestedSessionIdFromCookie()) {
  // 如果會話 ID 來自 cookie，請重用該 ID，如果來自 URL，請不要
  // 重用該會話ID，以防止可能的網(wǎng)絡(luò)釣魚攻擊
  session = manager.createSession(getRequestedSessionId());
 } else {
  session = manager.createSession(null);
 }
 // 基于該 Session 創(chuàng)建一個新的會話 cookie
 if ((session != null) && (getContext() != null)
    && getContext().getCookies()) {
  String scName = context.getSessionCookieName();
  if (scName == null) {
   // 默認(rèn) JSESSIONID
   scName = Globals.SESSION_COOKIE_NAME;
  }
  // 新建 Cookie
  Cookie cookie = new Cookie(scName, session.getIdInternal());
  // 設(shè)置 path domain secure
  configureSessionCookie(cookie);
  // 添加到響應(yīng)頭域
  response.addSessionCookieInternal(cookie, context.getUseHttpOnly());
 }
 if (session != null) {
  session.access();
  return (session);
 } else {
  return (null);
 }
}

public Session createSession(String sessionId) {
 // 默認(rèn)返回的是 new StandardSession(this) 實例
 Session session = createEmptySession();
 // 初始化屬性
 session.setNew(true);
 session.setValid(true);
 session.setCreationTime(System.currentTimeMillis());
 // 設(shè)置會話有效時間，單位 秒，默認(rèn) 30 分鐘，為負(fù)值表示永不過期
 session.setMaxInactiveInterval(((Context) getContainer()).getSessionTimeout() * 60);
 if (sessionId == null) {
  // 生成一個會話 ID
  sessionId = generateSessionId();
 
 session.setId(sessionId);
 sessionCounter++;

 SessionTiming timing = new SessionTiming(session.getCreationTime(), 0);
 synchronized (sessionCreationTiming) {
  sessionCreationTiming.add(timing);
  sessionCreationTiming.poll();
 }
 return (session);
}

protected String generateSessionId() {
 byte random[] = new byte[16];
 String jvmRoute = getJvmRoute();
 String result = null;
 // 將結(jié)果渲染為十六進(jìn)制數(shù)字的字符串
 StringBuffer buffer = new StringBuffer();
 do {
  int resultLenBytes = 0;
  if (result != null) { // 重復(fù)，重新生成
   buffer = new StringBuffer();
   duplicates++;
  }
  // sessionIdLength 為 16
  while (resultLenBytes < this.sessionIdLength) {
   getRandomBytes(random);// 隨機獲取 16 個字節(jié)
   // 獲取這16個字節(jié)的摘要，默認(rèn)使用 MD5
   random = getDigest().digest(random);
   // 遍歷這個字節(jié)數(shù)組，最后生成一個32位的十六進(jìn)制字符串
   for (int j = 0;
   j < random.length && resultLenBytes < this.sessionIdLength;
   j++) {
    // 使用指定字節(jié)的高低4位分別生成一個十六進(jìn)制字符
    byte b1 = (byte) ((random[j] & 0xf0) >> 4);
    byte b2 = (byte) (random[j] & 0x0f);
    // 轉(zhuǎn)為十六進(jìn)制數(shù)字字符
    if (b1 < 10) {buffer.append((char) ('0' + b1));}
    // 轉(zhuǎn)為大寫的十六進(jìn)制字符
    else {buffer.append((char) ('A' + (b1 - 10)));}
    
    if (b2 < 10) {buffer.append((char) ('0' + b2));}
    else {buffer.append((char) ('A' + (b2 - 10)));}
    resultLenBytes++;
   }
  }
  if (jvmRoute != null) {buffer.append('.').append(jvmRoute);}
  result = buffer.toString();
 } while (sessions.containsKey(result));
 return (result);
}

public boolean isValid() {
 ...
 // 是否檢查是否活動，默認(rèn) false
 if (ACTIVITY_CHECK && accessCount.get() > 0) {
  return true;
 }
 // 檢查時間是否過期
 if (maxInactiveInterval >= 0) { 
  long timeNow = System.currentTimeMillis();
  int timeIdle = (int) ((timeNow - thisAccessedTime) / 1000L);
  if (timeIdle >= maxInactiveInterval) {
   // 如果過期，執(zhí)行一些內(nèi)部處理
   // 主要是通知對過期事件感興趣的 listeners
   expire(true);
  }
 } // 復(fù)數(shù)永不過期
 return (this.isValid);
}

create table tomcat_sessions (
 session_id   varchar(100) not null primary key,
 valid_session char(1) not null, -- 是否有效
 max_inactive  int not null,-- 最大有效時間
 last_access  bigint not null, -- 最后訪問時間
 app_name    varchar(255), -- 應(yīng)用名，格式為 /Engine/Host/Context
 session_data  mediumblob, -- 二進(jìn)制數(shù)據(jù)
 KEY kapp_name(app_name)
);