java - session 与 ssl session

Question

我正在尝试了解 session 并想了解以下内容:

http session 和 SSL session 有什么区别？

它们是在什么情况下产生的？

Answer 1

如果同一个客户端和服务器有跨越多个请求和响应的对话，则存在 HTTP session 。在此对话期间，他们保持一种状态，例如特定用户已登录或类似状态。这种状态通常借助于一直交换的 cookie 来维持。

SSL/TLS session 类似，只是它不在 HTTP 级别并且状态不反射(reflect)登录用户。相反，TLS session 的状态包括加密 key 和使用的密码等。此状态以与 HTTP 类似的方式反射(reflect):您在 HTTP 中拥有 cookie，在 TLS 中拥有 session token 或 session ID。

在 HTTP 中， session 通常用于保持授权状态，即用户登录一次并可以在保持登录状态的同时执行多项操作。因此它用于减少一次又一次登录的开销。在 SSL/TLS 中，出于类似的原因创建 session :减少 TLS 握手的开销。如果不存在 TLS session ，将完成一次完整的握手。在此握手中，服务器将通过发送证书和密码来证明身份，并将交换 key 。相反，如果 session 被重用，则将完成更便宜、更短的握手，因为客户端和服务器只是继续使用相同的 key 和密码，并且身份证明仍然有效。

SSL/TLS session 和 HTTP session 是独立的，即可以有重叠，也可以没有重叠，但这根本没有关系。