session 是我们 jsp 九大隐含对象的一个对象。
session 称作域对象，他的作用是保存一些信息，而 session 这个域对象是一次会话期间使用同一个对象。所以这个对象可以用来保存共享数据。
session 是基于 cookie 的。
在用户第一次使用 session 的时候（访问 jsp 页面会获取 session，所以一般访问 index.jsp 就算是第一次使用 session 了），服务器会为用户创建一个 session 域对象。使用 jsessionid 和这个对象关联，这个对象在整个用户会话期间使用。响应体增加 set-cookie:jsessionid=xxx 的项。用户下次以后的请求都会携带 jsessionid 这个参数，我们使用 request.getSession()的时候，就会使用 jsessionid 取出 session 对象。
session 原理图：
获取 session 对象
HttpSession session = request.getSession();
session 是我们的四大域对象之一。用来保存数据。常用的方法
session.setAttribute("user", new Object());
session.getAttribute("user");
session.setMaxInactiveInterval(60*60*24);//秒为单位
session.invalidate();//使 session 不可用
1）基本原则
Session 对象在服务器端不能长期保存，它是有时间限制的，超过一定时间没有被访问过的 Session 对象就应该释放掉，以节约内存。所以 Session 的有效时间并不是从创建对象开始计时，到指定时间后释放——而是从最后一次被访问开始计时，统计其“空闲”的时间。
2）默认设置
在全局 web.xml 中能够找到如下配置：
<session-config>
<session-timeout>30</session-timeout>
</session-config>
说明 Session 对象默认的最长有效时间为 30 分钟。
3）手工设置
session.setMaxInactiveInterval(int seconds)
session.getMaxInactiveInterval()
4）强制失效
session.invalidate()
5）可以使 Session 对象释放的情况
在整个会话控制技术体系中，保持 JSESSIONID 的值主要通过 Cookie 实现。但 Cookie 在浏览器端可能会被禁用，所以我们还需要一些备用的技术手段，例如：URL 重写。
1）URL 重写其实就是将 JSESSIONID 的值以固定格式附着在 URL 地址后面，以实现保持JSESSIONID，进而保持会话状态。这个固定格式是：URL;jsessionid=xxxxxxxxx
例如：
targetServlet;jsessionid=F9C893D3E77E3E8329FF6BD9B7A09957
2）实现方式：
response.encodeURL(String)
response.encodeRedirectURL(String)
例如：
//1.获取Session对象
HttpSession session = request.getSession();
//2.创建目标URL地址字符串
String url = "targetServlet";
//3.在目标URL地址字符串后面附加JSESSIONID的值
url = response.encodeURL(url);
//4.重定向到目标资源
response.sendRedirect(url);
Session 机制很好的解决了 Cookie 的不足，但是当访问应用的用户很多时，服务器上就会创建非常多的 Session 对象，如果不对这些Session 对象进行处理，那么在 Session 失效之前，这些 Session 一直都会在服务器的内存中存在。那么就，就出现了 Session 活化和钝化的机制。
1）Session 钝化：
Session 在一段时间内没有被使用时，会将当前存在的 Session 对象序列化到磁盘上，而不再占用内存空间。
2）Session 活化：
Session 被钝化后，服务器再次调用 Session 对象时，将 Session 对象由磁盘中加载到内存中使用。
如果希望 Session 域中的对象也能够随 Session 钝化过程一起序列化到磁盘上，则对象的实现类也必须实现 java.io.Serializable 接口。不仅如此，如果对象中还包含其他对象的引用，则被关联的对象也必须支持序列化，否则会抛出异常：java.io.NotSerializableException
同一个表单中的数据内容多次提交到服务器。
危害：
服务器重复处理信息，负担加重。
如果是保存数据可能导致保存多份相同数据。
1）提交完表单后，直接刷新页面，会再次提交。
2）提交表单后，由于网速差等原因，服务器还未返回结果，连续点击提交按钮，会重复提交。
$(“#form1”).submit(function(){
$(“#sub_btn”).prop(“disabled”,true);
})
3）表单提交后，点击浏览器回退按钮，不刷新页面，点击提交按钮再次提交表单
1、页面生成时，产生一个唯一的 token 值。将此值放入 session
2、表单提交时，带上这个 token 值。
3、服务端验证 token 值存在，则提交表单，然后移除此值。
验证 token 不存在，说明是之前验证过一次被移除了，所以是重复请求。不予处理
原理：
代码：
<%
String token = System.currentTimeMillis() + "";
request.getSession().setAttribute(token, "");
%>
<div>
<h1>测试表单重复提交</h1>
<form action="login" method="get">
用户名：<input name="username" type="text"/>
密码：<input name="password" type="password">
<input name="token" value="<%=token%>">
<input type="submit">
</form>
<hr>
</div>
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
HttpSession session = request.getSession();
String token = request.getParameter("token");
Object attribute = session.getAttribute(token);
response.setContentType("text/html;charset=UTF-8");
if(attribute!=null){
session.removeAttribute(token);
response.getWriter().write("请求成功！");
}else{
response.getWriter().write("请不要重复请求！");
}
}
其实防止重复提交的核心就是让服务器有一个字段能来识别此次请求是否已经执行。
这个字段需要页面传递过来，因为只要回退回去的页面，字段都是一致的。不会变化，通过这个特性我们想到了 token 机制来防止重复提交。