Question

SessionID是由服务器的那部分程序生成的？

SessionID是由服务器的那部分程序生成的？，请以应用JSP和tomcat的服务器为例详细说明。
HttpSession session = request.getSession(true);

javax.servlet.http
Interface HttpSession

javax.servlet.http
Interface HttpServletRequest
getSession(boolean create)
Returns the current HttpSession associated with this request or, if there is no current session and create is true, returns a new session.

求源代码

Answer 1

Session一般在服务器上设置了一个30分钟的过期时间，当客户停止活动后自动失效。Session 中保存和检索的信息不能是基本数据类型如 int， double等，而必须是java的相应的对象，如Integer， Double.

Httpsession具有如下API：

getId　此方法返回唯一的标识，这些标识为每个session而产生。当只有一个单一的值与一个session联合时，或当日志信息与先前的sessions有关时，它被当作键名用。

GetCreationTime　返回session被创建的时间。最小单位为千分之一秒。为得到一个对打印输出很有用的值，可将此值传给Date constructor 或者GregorianCalendar的方法setTimeInMillis.

GetLastAccessedTime　返回session最后被客户发送的时间。最小单位为千分之一秒。

GetMaxInactiveInterval　返回总时间（秒），负值表示session永远不会超时。

getAttribute　取一个session相联系的信息。（在jsp1.0中为 getValue）

Integer item = （Integer） session.getAttrobute（"item"）　//检索出session的值并转化为整型

setAttribute　提供一个关键词和一个值。会替换掉任何以前的值。（在jsp1.0中为putValue）

session.setAttribute（"ItemValue"， itemName）；　// ItemValue 必须不是must简单类型

在应用中使用最多的是getAttribute和setAttribute.现以一个简单的例子来说明session的应用，　　test1.jsp（信息写入session），test2.jsp（从session读出信息）。

test1.jsp

＜HTML＞

＜HEAD＞

＜TITLE＞ Document ＜/TITLE＞

＜/HEAD＞

＜BODY BGCOLOR="#FFFFFF"＞
session.setAttribute("str",new String(“this is test”));
＜/BODY＞

＜/HTML＞
test2.jsp
＜HTML＞

＜HEAD＞
＜TITLE＞ New Document ＜/TITLE＞

＜/HEAD＞

＜BODY BGCOLOR="#FFFFFF"＞
＜%
String ls_str=null;
ls_str=(String)session.getAttribute("str");
out.println(“从session里取出的值为：”+ls_str);
%＞
＜/BODY＞

＜/HTML＞

追问

请看清问题再来回答，谢谢！

追答

已经都告诉答案了 不懂就别提问了

追问

看清楚了，我问的是sessionid，不是session，不懂别装了

追答

SESSION 就是一个会话 SESSIONID是一个标识罢了

每个访问者服务器会分配一个id给你，那就是sessionid，session没什么很神秘或者奇异的地方，它的实质就是服务器端保存的一份数据而已，这份数据都有一个独一无二的ID，这个ID服务器会通过set cookie的方式告诉给客户端。然后客户端请求的时候把这个ID带上，服务端的session就可以和客户端关联起来了。

不懂的是你吧 多学习些东西吧啊

追问

呵呵，你说的这些我都知道，我问的是sessionid是怎么创建的，也可以说session是怎么创建的，是哪个对象用哪个方法创建的，同时生成的sessionid。什么包里的什么类的什么方法？

追答

服务器里的内存中自动生成的

生成的地址是什么 你自己去调试找那个生成好的SESSIONID的内存地址去吧

什么包什么类什么方法

会的话 不会问这些无知的问题的 回去上学好了

追问

垃圾，不懂还装B，是TOMCAT里的一个API，不同类型服务器程序生成方式都不一样。还内存自动生成的呢，内存运行机制你懂吗，连问题都看不懂就瞎BB，无知的是自己，垃圾！

追答

又出来BB了

什么都不懂 还TOMCAT里的一个API呢 你知道什么叫API吗

还内存运行机制呢 有种你写的程序别在内存中生成运行 别用内存你试试 灯BB

追问

傻B一个，你程序不写，内存自己知道生成？狗B的垃圾，你个傻B估计连内存怎么回事都不知道，你当内存是什么，没事自己生着玩。内存得靠程序调用，你这智商真他妈搞笑，最烦你这种垃圾，啥也不是就来回答问题，还他妈自以为很NB，实际上就是个大傻B!!!

追答

问：SessionID是由服务器的那部分程序生成的？

答：就是楼主BB生成的。 没有可以造。 有病你治病，你别找我啊，我又不是兽医。
当初你傲成那个样子，现在又是玩哪出呢。 缺狗粮才知道来找我？你爸是731部队的吧，研究病毒没研究明白，把你研究出来了。你说你装的个名媛淑女的样er，对了，你爹是天蓬啊。.其实你算什么呢，不过是一条乱吠的狗罢了。就算是一坨shi，也有遇见屎壳郎的一天，所以你大可不必为今天的自己有太多担忧。 唉~~~~ 你就好好的苟延残喘慢慢活着吧 乖~~~~~

Answer 2

修改TOMCAT 默认的生成SESSION ID的算法和字符长度非常简单,只需修改context.xml中的<Manager>标签值,比如：
<Manager
sessionIdLength="20"
pathname="SESSIONS.ser"
maxActiveSessions="8000"
secureRandomAlgorithm="SHA1PRNG"
secureRandomClass="java.security.SecureRandom"
maxInactiveInterval="60"
/>
标红的部分不用我说大家也应该知道了，算法除了SHA1PRNG还有好几种,具体可以查看 JDK DOC的java.security.SecureRandom类章节.
更多配置见：http://tomcat.apache.org/tomcat-7.0-doc/config/manager.html
TOMCAT默认的SESSIONID生成器在高并发下可能产生些性能损失，因为采用了较为安全的随机数来生成SESSION的ID值。
实际上TOMCAT生成的SESSIONID是不可能有重复值的，查看TOMCAT源码文件:ManagerBase.java中的以下代码
/**
* Generate and return a new session identifier.
*/
protected String generateSessionId() {
String result = null;
do {
if (result != null) {
duplicates++;
}
result = sessionIdGenerator.generateSessionId();
} while (sessions.containsKey(result)); //此处保证最终生成给客户端使用的SESSIONID一定是不重复的
return result;
}
所以，不必担心SESSIONID的安全性，如果有更好的实现，可以修改相应代码用于特定项目中。
因此我们可以修改TOMCAT源码中的SessionIdGenerator.java生成ID的函数部分，比如采用 java.util.UUID+java.util.Random+(随机字符串)来构建更高效的生成SESSIONID的算法，或者自己实现相关部分等 等。

Answer 3

sessionid创建的三种场景

1. HTTP请求中含有jessionid，那么coyoteAdapter（将coyote.request适配成connector.request）会解析出来，不论是从querystring还是请求体中

2. 手动创建，就是调用getsession方法

3. 这是题主忽略的（也是本人想了N久才意识到）。就是jsp转servlet时的九大隐式对象，其中包含session对象，这意味着jsp转servlet时默认会帮我们创建session对象（如果还没创的话），然后就又调用createsession从而调用sessionidgenerator

   附注：如果题主只写一个servlet，然后就往response中写几个文字，那么这种情况下浏览器是拿不到set-cookie:jessionid=xxx的。
   回答完毕。和题主斯比那货我直接无语。。

Answer 4

你用的是Tomcat的话，则在Tomcat源码中有具体实现。
Tomcat中的实现类有HttpRequestBase 、HttpProcessor 等类的实现。