一、什么是session？
session称为“会话控制”，Session 对象存储特定用户会话所需的属性及配置信息。
二、session的机制是什么？
当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端是否包含一个session标识（即JSESSIONID）。
如果是第一次请求服务器，服务器会创建session，并创建Cookie，在Cookie中保存Session的id，发送给客户端，这样客户端就有了自己的session的id了。但这个Cookie只在浏览器内存中存在，也就是说，在关闭浏览器窗口后，Cookie就会丢失，也就丢失了sessionId。
如果是第二次请求服务器，会在请求中把保存的sessionId的Cookie发送给服务器，服务器通过sessionId查找session对象，然后给使用。也就是说，只要浏览器容器不关闭，无论访问服务器多少次，使用的都是同一个session对象。这样也就可以让多个请求共享同一个session了。
当用户关闭了浏览器窗口后，再打开浏览器访问服务器，这时请求中没有了sessionId，那么服务器会创建一个session，再把sessionId通过Cookie保存到浏览器中，也是一个新的会话开始了。原来的session会因为长时间无法访问而失效（默认保留时间为30分钟）。
当用户打开某个服务器页面长时间没动作时，这样session会超时失效，当用户再有活动时，服务器通过用户提供的sessionId已经找不到session对象了，那么服务器还是会创建一个新的session对象，再把新的sessionId保存到客户端。这也是一个新的会话开始了。
使用session
创建和添加
HttpSession session = request.getSession();
session.setAttribute("customerInfo","1");设置过期时长：
1.1：在主页面或者公共页面中加入：
session.setMaxInactiveInterval(15*60);参数说明：单位秒，即在没有活动15分钟后，session将失效。如果设置的值为零或负数，则表示会话将永远不会超时。常用于设置当前会话时间。
注意：这个session设置的时间是根据服务器来计算的，而不是客户端。所以如果是在调试程序，应该是修改服务器端时间来测试，而不是客户端。
1.2：也是比较通用的设置session失效时间的方法，就是在项目的web.xml中设置
<session-config>
<session-timeout>15</session-timeout>
</session-config>1.3：直接在应用服务器中设置，如果是tomcat，可以在tomcat目录下conf/web.xml中
找到元素，tomcat默认设置是30分钟，只要修改这个值就可以了。
优先级问题
上面的方法从高到低依次是1-2-3
删除
session.invalidate();首先，session 的作用域是在一个会话期间，多个用户访问服务器，就会有多个session，现在，我就假设有三个用户A、B、C，他们访问服务器，分别创建了三个Session，记为S1,S2,S3.。
session.invalidate()，是某一个用户调用的，比如说S1这个用户，调用了这个方法，那么，就只有s1用户的session 被删除，其他用户的session，跟s1没关系。
session.invalidate()，它实际上调用的是session对象中的destroy方法，也就是说你下次要再使用session，得再重新创建。 简单的说，就是没了，而不是值为null
另外，有些情况下，登出并不一定是调用session.invalidate()，有时候，只是把绑定在session中某些数据给清空而已。
session.invalidate()是不能随便调用的，一旦调用，就是所有的数据都会丢失。
session建议设置的时长
设置太长可能导致内存无法有效被回收。
一般来说，建议设置为30（分钟）就够了，最长也尽量别超过60（分钟）
session失效后做一些操作
（1）控制用户数，当session失效后，系统的用户数减少一个等，控制用户数在一定范围内，确保系统的性能。
（2）控制一个用户多次登录，当session有效时，如果相同用户登录，就提示已经登录了，当session失效后，就可以不用提示，直接登录了。
那么如何在session失效后，进行一系列的操作呢？
这里就需要用到监听器了，即当session因为各种原因失效后，监听器就可以监听到，然后执行监听器中定义好的程序就可以了。
监听器类为：HttpSessionListener类，有sessionCreated和sessionDestroyed两个方法
自己可以继承这个类，然后分别实现。
sessionCreated指在session创建时执行的方法
sessionDestroyed指在session失效时执行的方法
给一个简单的例子：
public class SessionListener implements HttpSessionListener{
public void sessionCreated(HttpSessionEvent event) {
HttpSession ses = event.getSession();
String id=ses.getId()+ses.getCreationTime();
SummerConstant.UserMap.put(id, Boolean.TRUE); //添加用户
}
public void sessionDestroyed(HttpSessionEvent event) {
HttpSession ses = event.getSession();
String id=ses.getId()+ses.getCreationTime();
synchronized (this) {
SummerConstant.USERNUM--; //用户数减一
SummerConstant.UserMap.remove(id); //从用户组中移除掉，用户组为一个map
}
}
}在web.xml中添加监听
<listener>
<listener-class>
需监听的类全名
</listener-class>
</listener>session有什么作用？
session是用来解决Http协议不能维持状态的问题。session只存储在服务器端的，不会在网络中进行传输，所以session是相对安全的。session是依赖cookie的，当用户访问某一站点时，服务器会为这个用户产生唯一的session_id，并把这个session_id以cookie的形式发送到客户端，以后的客户端的所有请求都会自动携带这个cookie。
