Session、Cookie 与登录态

1. 服务端通过 Set-Cookie 响应头设置 Cookie
2. 浏览器自动保存 Cookie
3. 浏览器后续请求自动携带 Cookie（Cookie 请求头）
4. 服务端从请求头中读取 Cookie

HTTP/1.1 200 OK
Set-Cookie: JSESSIONID=abc123; Path=/; HttpOnly; Secure; SameSite=Lax
Content-Type: text/html

GET /user/profile HTTP/1.1
Cookie: JSESSIONID=abc123

@WebServlet("/login")
public class LoginServlet extends HttpServlet {

    @Override
    protected void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        String username = request.getParameter("username");
        String password = request.getParameter("password");

        // 1. 校验用户名和密码（实际应查数据库）
        if (!"admin".equals(username) || !"123456".equals(password)) {
            request.setAttribute("error", "用户名或密码错误");
            request.getRequestDispatcher("/login.jsp").forward(request, response);
            return;
        }

        // 2. 校验成功，创建 Session
        HttpSession session = request.getSession(true);
        session.setAttribute("loginUser", username);
        session.setAttribute("loginTime", new Date());

        // 3. 重定向到主页
        response.sendRedirect(request.getContextPath() + "/home");
    }
}

@WebServlet("/logout")
public class LogoutServlet extends HttpServlet {

    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        
        // 销毁 Session
        HttpSession session = request.getSession(false);
        if (session != null) {
            session.invalidate(); // 使 Session 失效
        }

        // 重定向到登录页
        response.sendRedirect(request.getContextPath() + "/login");
    }
}

@WebFilter(urlPatterns = "/user/*")
public class LoginCheckFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;
        
        // 检查 Session 中是否有登录信息
        HttpSession session = req.getSession(false);
        if (session == null || session.getAttribute("loginUser") == null) {
            // 未登录，重定向到登录页
            resp.sendRedirect(req.getContextPath() + "/login");
            return;
        }
        
        // 已登录，放行
        chain.doFilter(request, response);
    }
}

<!-- web.xml 中配置 Session 超时时间（分钟） -->
<session-config>
    <session-timeout>30</session-timeout>
</session-config>

// 设置 Session 超时时间为 1 小时（秒）
session.setMaxInactiveInterval(3600);

// 获取剩余有效时间
int remaining = session.getMaxInactiveInterval();

// 方式1：URL 重写（URL 中附带 Session ID）
String url = response.encodeURL("/user/profile");
// 输出: /user/profile;jsessionid=abc123

// 方式2：表单隐藏字段
// <input type="hidden" name="jsessionid" value="abc123">

<!-- pom.xml -->
<dependency>
    <groupId>org.springframework.session</groupId>
    <artifactId>spring-session-data-redis</artifactId>
</dependency>

# application.yml
spring:
  session:
    store-type: redis
  redis:
    host: localhost
    port: 6379

// 配置后，Session 自动存储到 Redis
// 多个实例共享同一个 Redis，实现 Session 共享
@EnableRedisHttpSession
@Configuration
public class SessionConfig {
}

// 登录成功后返回 Token
@PostMapping("/login")
public Result login(@RequestBody LoginDTO dto) {
    User user = userService.authenticate(dto);
    String token = jwtUtil.generateToken(user.getId(), user.getUsername());
    return Result.success(token);
}

// 后续请求在 Header 中携带 Token
@GetMapping("/profile")
public Result profile(@RequestHeader("Authorization") String token) {
    Long userId = jwtUtil.getUserId(token);
    User user = userService.getById(userId);
    return Result.success(user);
}

<!-- 恶意网站上的页面 -->
<!-- 用户已登录银行网站，Session Cookie 会自动携带 -->

// 登录成功后迁移 Session（防止会话固定攻击）
HttpSession oldSession = request.getSession(false);
if (oldSession != null) {
    oldSession.invalidate();
}
HttpSession newSession = request.getSession(true);
newSession.setAttribute("loginUser", username);

用户反馈"未登录"或"登录态丢失"：

□ 浏览器是否携带了 Cookie？
  → F12 → Network → 检查 Request Headers 中是否有 Cookie

□ Cookie 中的 JSESSIONID 是否正确？
  → F12 → Application → Cookies → 检查值

□ 服务端是否创建了 Session？
  → 服务端日志中搜索 Session 创建记录

□ Session 是否已过期？
  → 检查 Session 超时配置和最后访问时间

□ 是否多实例部署？
  → 检查 Session 存储方式是否支持共享

□ 是否有过滤器拦截了请求？
  → 检查 Filter 链配置和日志