在使用shiro的session的时候感觉对于tomcat中session的管理还不是特别清楚，而且session管理作为tomcat中比较重要的一部分还是很有必要学习的。

目录

• 概述
• session的作用
• session新建、查找和更新
• session删除
• 总结

概述

在tomcatsession管理的类标准实现为StandardManager，主要作用为启动的是加载缓存的session，类关系如下：

在用户servlet中使用的session为StandardSessionFacade（也是使用了facade模式，类似request），类关系如下：

session的作用

因为http协议是无状态的，但是在实际使用中我们需要知道上次请求保存在服务器端的数据，这个时候就用到了session，结合客户端的cookie就可以实现暂时在服务器端存储部分数据。但是注意，cookie并不是仅仅为了配合session而存在，cookie主要用来客户端来存储一些数据。和普通cookie不一样的地方是，和session相关的cookie 是由服务器端返回给浏览器，由浏览器自动设置的，不需要开发人员参与。

session新建、查找和更新

session新建

因为在一次请求中session不是必要的，所以tomcat 不是一定会创建session，只有在使用到了才会创建新的session，比如在UserServlet中使用到了session，创建过程如下：

非红框圈住的部分是session新建的过程，在request.addSessionIdInternal方法中将session作为cokkie设置到response头信息中，浏览器中收到"set-cookie"头信息的时候会将该头信息的值设置到cookie中，下次请求的时候会带上。

session查找

当同一个客户端在有效时间内（默认是30分钟，也是session的默认过期时间）第二次请求来了的时候，在CoyoteAdapter.postParseRequest方法内解析request请求头信息获取cookie（如果有的话），然后将cookie作为sessionId（其实cookie就是sessionId）设置到request对象中，在servlet 中调用getSession的时候，如果根据该sessionId查找到了session，则不会新建，否则才会新建。

调用过程如上图中左上方的红框。

session更新

因为session有过期时间，tomcat会记录该session的lastAccessedTime，更新session也就是更新这个时间，调用过程如上图中最下面的红框。

session删除

默认session是有过期时间，而且保存在内存中的，如果，一直不删除session，最后肯定会撑爆内存，在tomcat 中删除session的情况有两种：

• 在新的请求来的时候，如果查找到对应的session了会验证session是否可用（过期），如果过期了就会删除该session
• 在daemon线程（ContainerBase$ContainerBackgroundProcessor.processChildren中StandardContext->ContainerBase.backgroundProcess中调用StandardManager->ManagerBase.backgroundProcess）中定时检查是否过期，如果 过期则删除。

总结

到这里tomcat源码阅读基本上已经完成，大体脉络已经很明确，收获颇多，第一次阅读源码确实感觉到了一个好的开源项目的强大之处。

 

---

 

这段时间来的图（使用astah绘制）和笔记