原文地址：http://www.cnblogs.com/kross/p/3615695.html
一直沒弄懂Session，cookies什么的登陸驗證到底是怎么回事，昨天分別用HttpURLConnection和HttpClient兩個類來實驗了一下，基本弄明白了Session驗證登陸的機制和這兩個類的區別。
第一步：先在本地寫一個登陸頁面和一個內容頁面（登陸了才能進去）吧。代碼大致如下：
下面是login.php，用於請求登陸的，通過post傳遞參數，如果登陸成功就會注冊session。
1 <?php 2 session_start(); 3 4 if (isset($_POST['username'])) { 5 $username = $_POST['username']; 6 $password = $_POST['password']; 7 8 if ($username == 'admin' && $password == 'admin') { 9 $_SESSION['username'] = $username; 10 echo "<a href='content.php'>進入網站</a>"; 11 } else { 12 echo "-1"; 13 } 14 } 15 ?> 16 <html> 17 <body> 18 <form action="" method="post"> 19 <input type="text" name="username" /> 20 <input type="password" name="password" /> 21 <input type="submit" name="submit" value="submit" /> 22 </form> 23 </body> 24 </html>
下面是content.php，會驗證session，用來當網站的內容頁，登陸了才能看到正確的內容。
<?php session_start(); if (isset($_SESSION['username'])) { echo "login ok"; } else { echo "not login"; } ?>
接下來先講HttpURLConnection這個類，先使用這個類直接請求content.php頁面，理所應當的返回了"-1"。如果先用這個類去請求login.php，並傳遞正確的參數，就會顯示登陸成功，這個時候再去用這個類請求content.php，依然是返回"-1"，很顯然，HttpURLConnection並沒有記錄我們登陸的狀態，或者說服務器認識剛剛登陸成功的人，但這次請求content.php的人它依然不認識。這就說明了HttpURLConnection的每一次請求都是獨立的，都是一次新的請求，或者說每一次請求都是一個新的會話（session）。
然后我就用chrome去開我自己寫的那個測試的網頁，發現在同一個網站下，同一次會話中，有一個sessionid是不會變的。
就是上面這個東西，如果開着某個頁面，無論如何刷新，或者跳轉到這個服務器下的其他網站，這個SESSIONID的值都不會改變，但是如果關掉這個服務器下的所有頁面，再重新打開這樣的一個頁面，這個SESSIONID的值就被重新生成了。
於是用HttpURLConnection的情況，第一次登陸login.php是一個SESSIONID，確實登陸成功了，服務器記住的是SESSIONID為A的情況（假設是A好了），但再去請求content.php的時候，SESSIONID就不是A了，服務器就認為你沒有登陸，於是就顯示了“-1”。問題搞明白了，那么只需要在HttpURLConnection請求的時候，給它加上SESSIONID這個頭部就行了。最終代碼如下：
public class NetHelper { /** * SESSIONID * */ private String sessionId = ""; /** * 發送一條請求，將內容以字符串返回 * @param url 請求的地址 * @return 返回的內容 * */ public String request(String url) throws IOException { URL uUrl = new URL(url); HttpURLConnection huc = (HttpURLConnection) uUrl.openConnection(); huc.addRequestProperty("Cookie", sessionId); //為什么是“Cookie”，Chrome打開F12自己看看就明白了 huc.connect(); BufferedReader br = new BufferedReader(new InputStreamReader(huc.getInputStream())); String data = ""; String line = ""; while ((line = br.readLine()) != null) { data = data + line; } return data; } /** * 發送登陸請求，並將SESSIONID保存起來 * @param url 登陸請求的地址 * @return 返回的內容 * */ public String login(String url) throws IOException { URL uUrl = new URL(url); HttpURLConnection huc = (HttpURLConnection) uUrl.openConnection(); //設置請求方式 huc.setRequestMethod("POST"); //設置post參數 StringBuffer params = new StringBuffer(); params.append("username=").append("admin").append("&").append("password=").append("admin"); byte[] bytes = params.toString().getBytes(); huc.getOutputStream().write(bytes); huc.connect(); //從headers中取出來，並分割，為什么要分割，Chrome打開F12自己看看就明白了 String[] aaa = huc.getHeaderField("Set-Cookie").split(";"); sessionId = aaa[0]; BufferedReader br = new BufferedReader(new InputStreamReader(huc.getInputStream())); String data = ""; String line = ""; while ((line = br.readLine()) != null) { data = data + line; } return data; } }
接下來就是使用HttpClient，代碼類似的，我做了相同的實驗，結果就直接出來了，HttpClient會自動的管理Session，第二次請求不需要手動去設置Session就可以登錄上。
public class NetClient { private HttpClient client = null; public NetClient() { client = new DefaultHttpClient(); } public String request(String url) throws ClientProtocolException, IOException { HttpPost post = new HttpPost(url); HttpResponse res = client.execute(post); BufferedReader br = new BufferedReader(new InputStreamReader(res.getEntity().getContent())); String data = ""; String line = ""; while ((line = br.readLine()) != null) { data = data + line; } return data; } public String login(String url) throws ClientProtocolException, IOException { HttpPost post = new HttpPost(url); //設置post參數的方式還真是不人性化啊…… ArrayList<NameValuePair> pa = new ArrayList<NameValuePair>(); pa.add( new BasicNameValuePair( "username", "admin")); pa.add( new BasicNameValuePair( "password", "admin")); post.setEntity( new UrlEncodedFormEntity(pa, "UTF-8")); HttpResponse res = client.execute(post); BufferedReader br = new BufferedReader(new InputStreamReader(res.getEntity().getContent())); String data = ""; String line = ""; while ((line = br.readLine()) != null) { data = data + line; } return data; } }
最后總結一下，Session驗證的方式是在一次會話中，為每一個客戶端都生成了一個SESSIONID，如果是成功登陸的，服務器端就會記錄好，登陸成功的SESSIONID，如果登陸失敗或者新的SESSIONID，都將無法驗證登陸，這就是SESSION驗證登陸的基本情況。
而HttpURLConnection和HttpClient這兩個類都可以用來網絡請求，但稍有不同，HttpuRLConnection每一次請求都是新的會話，如果需要去驗證SESSIONID，就必須手動的去設置Header，HttpClient就能智能的管理Session，不需要手動設置，實際上HttpClint就類似於一個程序中的小瀏覽器。
最大的槽點我覺得就是這兩個類設置post參數的方式都很2B一點都不方便……
另外HttpClient不能同時發送兩次請求，如果一個請求還沒有結束或者關閉，又馬上開啟另一個請求。就會報警告，截個圖吧
所以我綜合考慮了下，以后還是盡量都使用HttpURLConnection吧……
原文地址：http://www.cnblogs.com/kross/p/3615695.html