java - servlet如何工作？实例化， session ，共享变量和多线程

Question

假设我有一个Web服务器，其中包含许多Servlet。为了在这些servlet之间传递信息，我正在设置会话和实例变量。

现在，如果有2个或更多用户向该服务器发送请求，那么会话变量将如何处理？它们对于所有用户都是通用的还是对每个用户都是不同的。如果它们不同，那么服务器如何区分不同的用户？

还有一个类似的问题，如果有n个用户正在访问特定的servlet，那么仅当第一个用户第一次访问该servlet时才实例化该servlet，还是单独为所有用户实例化该servlet？换句话说，实例变量将如何处理？

Answer 1

ServletContext

当servlet容器（如Apache Tomcat）启动时，它将部署并加载其所有Web应用程序。加载Web应用程序后，Servlet容器将创建一次ServletContext并将其保存在服务器的内存中。解析Web应用程序的web.xml和所有包含的web-fragment.xml文件，并找到每个<servlet>，<filter>和<listener>（或分别用@WebServlet，@WebFilter和@WebListener注释的每个类）实例化一次并保存在服务器的内存中。对于每个实例化的过滤器，其init()方法将被新的FilterConfig调用。

当Servlet的<servlet><load-on-startup>或@WebServlet(loadOnStartup)值大于0时，其init()方法也将在启动期间使用新的ServletConfig调用。这些servlet以该值指定的相同顺序进行初始化（1为1st，2为2nd，依此类推）。如果为多个servlet指定了相同的值，则每个servlet的加载顺序与它们在web.xml，web-fragment.xml或@WebServlet类加载中出现的顺序相同。如果没有“启动时加载”值，则当HTTP请求第一次访问该servlet时，将调用init()方法。

当Servlet容器完成上述所有初始化步骤后，将调用ServletContextListener#contextInitialized()。

当servlet容器关闭时，它将卸载所有Web应用程序，调用所有初始化的servlet和过滤器的destroy()方法，并且所有ServletContext，Servlet，Filter和Listener实例都将被丢弃。最后，ServletContextListener#contextDestroyed()将被调用。

HttpServletRequest和HttpServletResponse

Servlet容器连接到Web服务器，该Web服务器在某个端口号上侦听HTTP请求（端口8080通常在开发过程中使用，而端口80在生产中使用）。当客户端（例如，具有Web浏览器或programmatically using URLConnection的用户）发送HTTP请求时，servlet容器将创建新的HttpServletRequest和HttpServletResponse对象，并将它们通过链中任何已定义的Filter传递，最终， Servlet实例。

对于filters，将调用doFilter()方法。当servlet容器的代码调用chain.doFilter(request, response)时，请求和响应将继续到下一个过滤器，如果没有剩余的过滤器，则单击servlet。

对于servlets，将调用service()方法。默认情况下，此方法根据doXxx()确定要调用哪个request.getMethod()方法。如果servlet中没有确定的方法，则在响应中返回HTTP 405错误。

request对象提供对有关HTTP请求的所有信息的访问，例如URL，标头，查询字符串和正文。响应对象提供了以所需方式控制和发送HTTP响应的功能，例如，允许您设置标头和正文（通常使用从JSP文件生成的HTML内容）。提交并完成HTTP响应后，请求和响应对象都将被回收并可供重用。

HttpSession

当客户端首次访问Web应用程序和/或通过HttpSession首次获取request.getSession()时，servlet容器将创建一个新的HttpSession对象，生成一个长而唯一的ID（您可以获取该ID）按session.getId()），并将其存储在服务器的内存中。 Servlet容器还在HTTP响应的Cookie头中设置Set-Cookie，其中JSESSIONID为名称，唯一会话ID为其值。

根据HTTP cookie specification（任何体面的Web浏览器和Web服务器必须遵守的合同），要求客户端（Web浏览器）在 标头中的后续请求中将此cookie发送回去，直到该cookie为止。有效（即，唯一ID必须引用未过期的会话，并且域和路径正确）。使用浏览器的内置HTTP流量监控器，您可以验证Cookie是否有效（在Chrome / Firefox 23 + / IE9 +中按F12，然后检查“网络/网络”标签）。 Servlet容器将检查每个传入HTTP请求的 Cookie标头中是否存在名称为 Cookie的cookie，并使用其值（会话ID）从服务器内存中获取关联的 JSESSIONID。

HttpSession保持活动状态，直到闲置（即未在请求中使用）超过 HttpSession中指定的超时值（ <session-timeout>中的设置）为止。超时值默认为30分钟。因此，当客户端访问Web应用程序的时间不超过指定的时间时，Servlet容器将破坏会话。每个后续请求，即使指定了cookie，也将无法再访问同一会话。 servlet容器将创建一个新会话。

在客户端，只要浏览器实例正在运行，会话cookie就会保持活动状态。因此，如果客户端关闭浏览器实例（所有选项卡/窗口），则会话将被丢弃在客户端侧。在新的浏览器实例中，与会话关联的cookie将不存在，因此将不再发送。这将导致创建一个全新的 web.xml，并使用一个全新的会话cookie。

简而言之


HttpSession的生存时间与Web应用程序的生存时间相同。它在所有会话的所有请求之间共享。
只要客户端与具有相同浏览器实例的Web应用程序进行交互，并且会话尚未在服务器端超时， ServletContext就会存在。它在同一会话中的所有请求之间共享。
HttpSession和 HttpServletRequest从小服务程序从客户端收到HTTP请求开始，直到完整的响应（网页）到达为止。它没有在其他地方共享。
只要Web应用程序存在，所有 HttpServletResponse， Servlet和 Filter实例都会存在。它们在所有会话的所有请求之间共享。
只要所讨论的对象存在，在 Listener， attribute和 ServletContext中定义的任何 HttpServletRequest都会存在。对象本身代表了诸如JSF，CDI，Spring等之类的bean管理框架中的“作用域”。那些框架将其范围内的bean作为其最匹配范围的 HttpSession存储。


线程安全

就是说，您最关心的可能是线程安全。现在，您应该知道所有请求都共享servlet和过滤器。这对Java来说是一件好事，它是多线程的，并且不同的线程（阅读：HTTP请求）可以使用同一实例。否则，对于每个单个请求重新创建， attribute和 init()都将太昂贵。

您还应该意识到，永远不要将任何请求或会话范围的数据分配为Servlet或过滤器的实例变量。它将在其他会话中的所有其他请求之间共享。那不是线程安全的！下面的示例说明了这一点：

public class ExampleServlet extends HttpServlet {

    private Object thisIsNOTThreadSafe;

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        Object thisIsThreadSafe;

        thisIsNOTThreadSafe = request.getParameter("foo"); // BAD!! Shared among all requests!
        thisIsThreadSafe = request.getParameter("foo"); // OK, this is thread safe.
    } 
}

也可以看看：


What is the difference between JSF, Servlet and JSP?
Best option for Session management in Java
Difference between / and /* in servlet mapping url pattern
doGet and doPost in Servlets
Servlet seems to handle multiple concurrent browser requests synchronously
Why Servlets are not thread Safe?