session什么时候创建和销毁(session对象由客户端创建和销毁)
HttpSession对象
HttpSession对象是javax.servlet.http.HttpSession的实例，该接口并不像HttpServletRequest或HttpServletResponse还存在一个父接口，该接口只是一个纯粹的接口。这因为session 本身就属于HTTP协议的范畴。
对于服务器而言，每一个连接到它的客户端都是一个session，servlet容器使用此接口创建 HTTP客户端和HTTP服务器之间的会话。会话将保留指定的时间段，跨多个连接或来自用户的页面请求。一个会话通常对应于一个用户，该用户可能多次访问一个站点。可以通过此接口查看和操作有关某个会话的信息，比如会话标识符、创建时间和最后一次访问时间。在整个session中，最重要的就是属性的操作。
session无论客户端还是服务器端都可以感知到，若重新打开一个新的浏览器，则无法取得之前设置的session，因为每一个session只保存在当前的浏览器当中，并在相关的页面取得。
Session的作用就是为了标识一次会话，或者说确认一个用户;并且在一次会话(一个用户的多次请求）期间共享数据。我们可以通过request.getSession()方法，来获取当前会话的session对象。
Session既然是为了标识一次会话，那么此次会话就应该有一个唯一的标志，这个标志就是sessionld。
每当一次请求到达服务器，如果开启了会话（(访问了session)，服务器第一步会查看是否从客户端回传一个名为JSESSIONID的cookie，如果没有则认为这是一次新的会话，会创建一个新的session对象，并用唯一的sessionld为此次会话做一个标志。如果有JESSIONID这个cookie回传，服务器则会根据JSESSIONID这个值去查看是否含有id为JSESSION值的session对象，如果没有则认为是一个新的会话，重新创建一个新的session对象，并标志此次会话;如果找到了相应的session对象，则认为是之前标志过的一次会话，返回该session对象，数据达到共享。
这里提到一个叫做JSESSIONID的cookie，这是一个比较特殊的cookie，当用户请求服务器时，如果访问了session，则服务器会创建一个名为JSESSIONID，值为获取到的session(无论是获取到的还是新创建的)的sessionld的cookie对象，并添加到 response对象中，响应给客户端，有效时间为关闭浏览器。
所以Session的底层依赖Cookie来实现。
Session用来表示一次会话，在一次会话中数据是可以共享的，这时session作为域对象存在，可以通过setAttribute(name,value)方法向域对象中添加数据，通过getAttribute(name)从域对象中获取数据，通过removeAttribute(name)从域对象中移除数据。
当客户端第一次请求servlet并且操作session时,session对象生成，Tomcat中 session 默认的存活时间为30min，即你不操作界面的时间，一旦有操作，session会重新计时。
可以在Tomcat 中的conf目录下的 web.xml文件中进行修改session的默认时间。
一般不建议修改
可在程序中自己设定session的生命周期，通过session.setMaxInactiveInterval(int)来设定session的最大不活动时间，单位为秒。
可通过getMaxInactiveInterval()查看当前session对象的最大不活动时间
通过session.invalidate()方法让session 立刻失效
从前面的JESSIONID可知道，session的底层依赖cookie 实现，并且该cookie 的有效时间为关闭浏览器，从而session在浏览器关闭时也相当于失效了(因为没有JSESSION再与之对应)。
当关闭服务器时，session销毁。
Session失效则意味着此次会话结束，数据共享结束。
问题：Session的销毁方式到底有哪些？
Session，作为我们离不开的后台的技术，它的出现主要是为了解决 Http 协议的 无状态 特点，用于解决用户状态的存储问题，而往往对于存储来说都会涉及到一个时间问题，下面我们来看看它的销毁方式到底有哪些。
默认时间到期
自己设定到期时间
立刻失效
关闭浏览器
关闭服务器
当客户端第一次请求 servlet 并且操作 session
时，session 对象生成，以 Tomcat 为例，Tomcat 中 session 默认的存活时间为
30min，即你不操作界面的时间，一旦有操作，session 会重新计时。那么 session 的默认时间可以改么？答案是肯定的。可以在
Tomcat 中的 web.xml 文件中进行修改。如下图：
当然除了以上的修改方式外，我们也可以在程序中自己设定 session 的生命周期，通过 session.setMaxInactiveInterval(int); 来设定 session 的最大不活动时间，单位为秒。
HttpSession session=req.getSession();session.setMaxInactiveInterval(5);
当然我们也可以通过 getMaxInactiveInterval(); 方法来查看当前 Session 对象的最大不活动时间。
或者我们也可以通过 session.invalidate(); 方法让 session 立刻失效。
session.invalidate();
session 的底层依赖 cookie
实现，因为不同用户访问服务器要判别到底是使用哪个 session，所以当用户第一次访问服务器的时候往往会把一个 session id 通过
cookie 存储到用户端，并且该 cookie 的有效时间为关闭浏览器，从而 session 在浏览器关闭时也相当于失效了（因为没有
session id 再与之对应）。如下图，关闭后再打开，重新给浏览器分配了个 session id。
需要注意的是这里只是 cookie 失效了，你再访问相当于服务器把你当成了新用户，又给你创建了一个 session，并没有把之前的 session 对象销毁。
当非正常关闭服务器时，session 销毁；当正常关闭服务器时，session 将被 序列化 到磁盘上，在工作空间 work 目录下的 SESSION.ser 文件中，如果对象被保存在了 session 中，服务器在关闭时要把对象序列化到硬盘，这个对象就必须实现 Serializable 接口，下次启动服务时，自动加载到内存。如下图，正常关闭后可以看到文件夹中多了一个 SESSIONS.ser 文件，再次启动服务器则文件消失。
从图中除了看到 Cookie 的名称和内容外，我们还需要关心一个信息， 到期时间 ，到期时间用来指定该 cookie 何时失效。默认为当前浏览器关闭即失效。我们可以手动设定 cookie 的有效时间（通过到期时间计算），通过 setMaxAge(int expiry); 方法设定 cookie 的最大有效时间，以 秒 为单位。
大于 0 的整数，表示存储的秒数；若为负数，则表示不存储该 cookie；若为 0，则删除该 cookie。
负整数 ：cookie 的 maxAge 属性的默认值就是 -1，表示只在浏览器内存中存活，一旦关闭浏览器窗口，那么 cookie 就会消失。
正整数 ：表示 cookie 对象可存活指定的秒数。当生命大于 0 时，浏览器会把 Cookie 保存到硬盘上，就算关闭浏览器，就算重启客户端电脑，cookie 也会存活相应的时间。
零 ：cookie 生命等于 0 是一个特殊的值，它表示 cookie 被作废！也就是说，如果原来浏览器已经保存了这个 Cookie，那么可以通过 Cookie 的 setMaxAge(0) 来删除这个 Cookie。 无论是在浏览器内存中，还是在客户端硬盘上都会删除这个 Cookie。
jsp中的session怎么销毁？
嗨，伤心了，Session的创建和销毁不是说过吗？当客户端发出第一个请求时（不管是被访问网站的任何页面）就会在此站点的服务其中开辟一块内存空间，这块内存就是session，session的销毁有两种方式，一种是session过期时间已到，会自动销毁（注意这里不是马上就会销毁，具体销毁时间由Tomcat容器所决定）。在我们项目中的web.xml中就可以配置：\x0d\x0a \x0d\x0a 30\x0d\x0a \x0d\x0a\x0d\x0a表示设置session过期时间为30分钟。值得注意的就是上面说的即使30分钟到了session不一定会马上销毁，可以通过session监听器测试得到每次session销毁的时间都不一样。如果要想安全的话就用下面第二种方法。在Tomcat的conf文件夹中的web.xml中可以找到Tomcat默认的session过期时间为30分钟。如果我们在我们的站点中配置了session过期时间Tomcat容器会以站点配置为主，如果我们没有在站点中配置session过期时间，将会以Tomcat下conf文件夹下的web.xml文件中配置的session过期时间为准。\x0d\x0a\x0d\x0a第二种销毁方式通过手工方式销毁，这种销毁方式会立刻释放服务器端session的资源，我们手动销毁可以通过session().invalidate();实现。