Session+Cookie实现登录认证

使用 Session 和 Cookie 实现登录认证的流程通常包括以下步骤：

1. 登录认证流程

1. 用户登录：

   用户在登录页面输入用户名和密码。
   服务器验证用户的凭证（用户名和密码）是否正确。

2. 创建会话（Session）：

   在用户验证成功后，服务器创建一个会话，为该用户生成一个唯一的会话标识（Session ID）。
   服务器将用户信息保存在会话中，比如用户 ID、角色等。

3. 设置 Cookie：

   服务器将该会话标识（Session ID）发送给客户端，通常以 Cookie 的形式。
   Cookie 在客户端被存储，通常是在浏览器的内存中。

4. 保持会话状态：

   每次用户与服务器进行交互时，浏览器会将 Cookie 中的会话标识发送给服务器。
   服务器根据会话标识找到对应的会话，确定用户的身份和权限。

5. 访问控制和身份验证：

   服务器根据会话中存储的用户信息来进行访问控制和身份验证，决定用户是否有权访问特定资源或执行特定操作。

2. 使用 Servlet 和 HttpSession 的简单示例

登录处理（LoginServlet）：

@WebServlet("/login")
public class LoginServlet extends HttpServlet {protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {String username = request.getParameter("username");String password = request.getParameter("password");// 假设有一个UserService类处理用户认证if (UserService.authenticate(username, password)) {HttpSession session = request.getSession();session.setAttribute("username", username);// 设置CookieCookie sessionCookie = new Cookie("sessionId", session.getId());sessionCookie.setMaxAge(60 * 60); // 设置 Cookie 有效时间response.addCookie(sessionCookie);response.sendRedirect("dashboard.jsp"); // 登录成功后重定向到用户仪表盘页面} else {// 处理登录失败的逻辑response.sendRedirect("login.jsp?error=1");}}
}

访问控制（DashboardServlet）：

@WebServlet("/dashboard")
public class DashboardServlet extends HttpServlet {protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {HttpSession session = request.getSession(false); // 如果会话不存在则返回 nullif (session != null && session.getAttribute("username") != null) {// 用户已经登录，允许访问仪表盘// 业务逻辑处理response.getWriter().println("Welcome to the dashboard!");} else {response.sendRedirect("login.jsp"); // 如果未登录，重定向到登录页面}}
}

这是一个简单的示例，实际应用中可能会更加复杂。安全性和保护用户数据的问题也需要仔细考虑，比如采用 HTTPS 加密通信、防范会话劫持和其他安全漏洞。