Tomcat 中的 Session 和 Cookie的爱恨情仇

// 设置 Cookie 
HTTP/1.1 200 OK 
Server: Apache-Coyote/1.1 
Set-Cookie: JSESSIONID=56AE5B92C272EA4F5E0FBFEFE6936C91; Path=/examples 
Date: Sun, 12 May 2019 01:40:35 GMT 
 
// 提交 Cookie 
GET /examples/servlets/servlet/SessionExample HTTP/1.1 
Host: localhost:8080 
Cookie: JSESSIONID=56AE5B92C272EA4F5E0FBFEFE6936C91 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.

http://localhost:8080/examples/SessionExample;JSESSIONID=1234;n=v/?x=x 
1.

CoyoteAdapter.service(Request, Response) 
└─CoyoteAdapter.postParseRequest(Request, Request, Response, Response) 
 └─CoyoteAdapter.parseSessionCookiesId(Request, Request) 
  └─Cookies.getCookieCount() 
   └─Cookies.processCookies(MimeHeaders) 
    └─Cookies.processCookieHeader(byte[], int, int) 
1.
2.
3.
4.
5.
6.

private void processCookieHeader(  String cookieString ){ 
  // 多个 cookie 值以逗号分割 
  StringTokenizer tok = new StringTokenizer(cookieString, ";", false); 
  while (tok.hasMoreTokens()) { 
    String token = tok.nextToken(); 
    // 获取等号的位置 
    int i = token.indexOf("="); 
    if (i > -1) { 
      // 获取name 和 value 并去除空格 
      String name = token.substring(0, i).trim(); 
      String value = token.substring(i+1, token.length()).trim(); 
      // RFC 2109 and bug 去除两头的双引号 " 
      value=stripQuote( value ); 
      // 从内部 cookie 缓存池中获取一个 ServerCookie 对象 
      ServerCookie cookie = addCookie(); 
      // 设置 name 和 value 
      cookie.getName().setString(name); 
      cookie.getValue().setString(value); 
    } else { 
      // we have a bad cookie.... just let it go 
    } 
  } 
} 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.

protected Session doGetSession(boolean create) { 
  ... 
  // 创建 Session 实例 
  if (connector.getEmptySessionPath() && isRequestedSessionIdFromCookie()) { 
    // 如果会话 ID 来自 cookie，请重用该 ID，如果来自 URL，请不要 
    // 重用该会话ID，以防止可能的网络钓鱼
    session = manager.createSession(getRequestedSessionId()); 
  } else { 
    session = manager.createSession(null); 
  } 
  // 基于该 Session 创建一个新的会话 cookie 
  if ((session != null) && (getContext() != null) 
       && getContext().getCookies()) { 
    String scName = context.getSessionCookieName(); 
    if (scName == null) { 
      // 默认 JSESSIONID 
      scName = Globals.SESSION_COOKIE_NAME; 
    } 
    // 新建 Cookie 
    Cookie cookie = new Cookie(scName, session.getIdInternal()); 
    // 设置 path domain secure 
    configureSessionCookie(cookie); 
    // 添加到响应头域 
    response.addSessionCookieInternal(cookie, context.getUseHttpOnly()); 
  } 
  if (session != null) { 
    session.access(); 
    return (session); 
  } else { 
    return (null); 
  } 
} 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.

public Session createSession(String sessionId) { 
  // 默认返回的是 new StandardSession(this) 实例 
  Session session = createEmptySession(); 
  // 初始化属性 
  session.setNew(true); 
  session.setValid(true); 
  session.setCreationTime(System.currentTimeMillis()); 
  // 设置会话有效时间，单位 秒，默认 30 分钟，为负值表示永不过期 
  session.setMaxInactiveInterval(((Context) getContainer()).getSessionTimeout() * 60); 
  if (sessionId == null) { 
    // 生成一个会话 ID 
    sessionId = generateSessionId(); 
   
  session.setId(sessionId); 
  sessionCounter++; 
 
  SessionTiming timing = new SessionTiming(session.getCreationTime(), 0); 
  synchronized (sessionCreationTiming) { 
    sessionCreationTiming.add(timing); 
    sessionCreationTiming.poll(); 
  } 
  return (session); 
} 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.

protected String generateSessionId() { 
  byte random[] = new byte[16]; 
  String jvmRoute = getJvmRoute(); 
  String result = null; 
  // 将结果渲染为十六进制数字的字符串 
  StringBuffer buffer = new StringBuffer(); 
  do { 
    int resultLenBytes = 0; 
    if (result != null) { // 重复，重新生成 
      buffer = new StringBuffer(); 
      duplicates++; 
    } 
    // sessionIdLength 为 16 
    while (resultLenBytes < this.sessionIdLength) { 
      getRandomBytes(random);// 随机获取 16 个字节 
      // 获取这16个字节的摘要，默认使用 MD5 
      random = getDigest().digest(random); 
      // 遍历这个字节数组，生成一个32位的十六进制字符串 
      for (int j = 0; 
      j < random.length && resultLenBytes < this.sessionIdLength; 
      j++) { 
        // 使用指定字节的高低4位分别生成一个十六进制字符 
        byte b1 = (byte) ((random[j] & 0xf0) >> 4); 
        byte b2 = (byte) (random[j] & 0x0f); 
        // 转为十六进制数字字符 
        if (b1 < 10) {buffer.append((char) ('0' + b1));} 
        // 转为大写的十六进制字符 
        else {buffer.append((char) ('A' + (b1 - 10)));} 
         
        if (b2 < 10) {buffer.append((char) ('0' + b2));} 
        else {buffer.append((char) ('A' + (b2 - 10)));} 
        resultLenBytes++; 
      } 
    } 
    if (jvmRoute != null) {buffer.append('.').append(jvmRoute);} 
    result = buffer.toString(); 
  } while (sessions.containsKey(result)); 
  return (result); 
} 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.

public boolean isValid() { 
  ... 
  // 是否检查是否活动，默认 false 
  if (ACTIVITY_CHECK && accessCount.get() > 0) { 
    return true; 
  } 
  // 检查时间是否过期 
  if (maxInactiveInterval >= 0) {  
    long timeNow = System.currentTimeMillis(); 
    int timeIdle = (int) ((timeNow - thisAccessedTime) / 1000L); 
    if (timeIdle >= maxInactiveInterval) { 
      // 如果过期，执行一些内部处理 
      // 主要是通知对过期事件感兴趣的 listeners 
      expire(true); 
    } 
  } // 复数永不过期 
  return (this.isValid); 
} 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.

create table tomcat_sessions ( 
  session_id     varchar(100) not null primary key, 
  valid_session  char(1) not null, -- 是否有效 
  max_inactive   int not null,-- 有效时间 
  last_access    bigint not null, -- 访问时间 
  app_name       varchar(255), -- 应用名，格式为 /Engine/Host/Context 
  session_data   mediumblob, -- 二进制数据 
  KEY kapp_name(app_name) 
); 
1.
2.
3.
4.
5.
6.
7.
8.
9.