Question

我用jsp+servlet+javabean+dao做了一个教务系统，对老师学生的注册功能实现了，

我用jsp+servlet+javabean+dao做了一个教务系统，对老师学生的注册功能实现了，还有用户登陆后各种关于数据库的功能也实现了。现在最苦恼的是怎样加入session去控制每个用户登录获取的是自己的东西？为什么app或者其他软件不需要用到session来做用户登录？

Answer 1

App通常用restful api跟server打交道。Rest是stateless的，也就是app不需要像browser那样用cookie来保存session, 因此用困棚session token来标示自己就够了，session/state由api server的逻辑处理。
　　如果你的游闷后端不是stateless的rest api, 那么你可能需要在app里保存session. 可以在app里嵌入webkit,用一个隐藏的browser来管理cookie session.
　　session 和 oauth token 并不矛盾，作为身份认证 token 安全性比session好，因为每个请求都有签名还能防止监听以及重放攻击，而session就必须靠链路层来保障通讯安全了。如上所说，如果你需要实现有状态的会话，仍然可以增加session来在服务器端保存神尺弯一些状态。