session里保存的是什么（Session的销毁方式到底有哪些）

Session，作为我们离不开的后台的技术，它的出现主要是为了解决 Http 协议的无状态特点，用于解决用户状态的存储问题，而往往对于存储来说都会涉及到一个时间问题，下面我们来看看它的销毁方式到底有哪些。

• 默认时间到期
• 自己设定到期时间
• 立刻失效
• 关闭浏览器
• 关闭服务器

当客户端第一次请求 servlet 并且操作 session 时，session 对象生成，以 Tomcat 为例，Tomcat 中 session 默认的存活时间为 30min，即你不操作界面的时间，一旦有操作，session 会重新计时。那么 session 的默认时间可以改么？答案是肯定的。可以在 Tomcat 中的 web.xml 文件中进行修改。如下图：

当然除了以上的修改方式外，我们也可以在程序中自己设定 session 的生命周期，通过 session.setMaxInactiveInterval(int); 来设定 session 的最大不活动时间，单位为秒。

HttpSession session = req.getSession(); session.setMaxInactiveInterval(5); 12

当然我们也可以通过 getMaxInactiveInterval(); 方法来查看当前 Session 对象的最大不活动时间。

或者我们也可以通过 session.invalidate(); 方法让 session 立刻失效。

session.invalidate(); 1

session 的底层依赖 cookie 实现，因为不同用户访问服务器要判别到底是使用哪个 session，所以当用户第一次访问服务器的时候往往会把一个 session id 通过 cookie 存储到用户端，并且该 cookie 的有效时间为关闭浏览器，从而 session 在浏览器关闭时也相当于失效了（因为没有 session id 再与之对应）。如下图，关闭后再打开，重新给浏览器分配了个 session id。

需要注意的是这里只是 cookie 失效了，你再访问相当于服务器把你当成了新用户，又给你创建了一个 session，并没有把之前的 session 对象销毁。

当非正常关闭服务器时，session 销毁；当正常关闭服务器时，session 将被序列化到磁盘上，在工作空间 work 目录下的 SESSION.ser 文件中，如果对象被保存在了 session 中，服务器在关闭时要把对象序列化到硬盘，这个对象就必须实现 Serializable 接口，下次启动服务时，自动加载到内存。如下图，正常关闭后可以看到文件夹中多了一个 SESSIONS.ser 文件，再次启动服务器则文件消失。

从图中除了看到 Cookie 的名称和内容外，我们还需要关心一个信息，到期时间，到期时间用来指定该 cookie 何时失效。默认为当前浏览器关闭即失效。我们可以手动设定 cookie 的有效时间（通过到期时间计算），通过 setMaxAge(int expiry); 方法设定 cookie 的最大有效时间，以秒为单位。

• 大于 0 的整数，表示存储的秒数；若为负数，则表示不存储该 cookie；若为 0，则删除该 cookie。
• 负整数：cookie 的 maxAge 属性的默认值就是 -1，表示只在浏览器内存中存活，一旦关闭浏览器窗口，那么 cookie 就会消失。
• 正整数：表示 cookie 对象可存活指定的秒数。当生命大于 0 时，浏览器会把 Cookie 保存到硬盘上，就算关闭浏览器，就算重启客户端电脑，cookie 也会存活相应的时间。
• 零：cookie 生命等于 0 是一个特殊的值，它表示 cookie 被作废！也就是说，如果原来浏览器已经保存了这个 Cookie，那么可以通过 Cookie 的 setMaxAge(0) 来删除这个 Cookie。 无论是在浏览器内存中，还是在客户端硬盘上都会删除这个 Cookie。