HTTP 是"无状态"的——服务器处理完一个请求，就不记得你是谁了。你登录了一下，刷新又让你登录？用户会骂娘。Cookie 和 Session 就是解决"跨请求记住用户"的两件套。

登录成功写 Session，过滤器里校验

// 登录 Servlet 里，账号密码对了之后：
HttpSession session = req.getSession();   // 没有就新建一个
session.setAttribute("loginUser", user);   // 把用户对象塞进 Session
session.setMaxInactiveInterval(30 * 60); // 30 分钟不操作自动失效

// Cookie 手动写一个（比如"记住我 7 天"）：
Cookie c = new Cookie("token", tokenValue);
c.setMaxAge(7 * 24 * 60 * 60);   // 7 天
c.setHttpOnly(true);             // JS 读不到，防 XSS 偷 Cookie
c.setSecure(true);               // 只在 HTTPS 下传输
c.setAttribute("SameSite", "Strict"); // 跨站请求不带 Cookie，防 CSRF
resp.addCookie(c);

Cookie 常用属性：安全三件套一个都不能少

Session 什么时候没：三种死法

用户禁用 Cookie 怎么办：URL 重写（了解即可）

// 万一用户把浏览器 Cookie 关了，SessionId 传不过去。
// 老办法：把 SessionId 拼在 URL 后面，容器自动处理：
String link = resp.encodeURL("/board");
// 输出可能变成 /board;jsessionid=ABC123（现在基本没人用，了解即可）

完整案例：登录写 Cookie + Session + 分布式 Session 思路

// 登录成功后：写 Session + 写"记住我"Cookie
@WebServlet("/login")
public class LoginServlet extends HttpServlet {
    protected void doPost(HttpServletRequest req, HttpServletResponse resp)
            throws IOException, ServletException {
        String user = req.getParameter("username");
        String pwd  = req.getParameter("password");

        if ("admin".equals(user) && "123456".equals(pwd)) {
            // ① 写 Session：服务器内存存登录态
            HttpSession session = req.getSession();
            session.setAttribute("loginUser", user);
            session.setMaxInactiveInterval(30 * 60);  // 30 分钟过期

            // ② 防 Session 固定攻击：登录后换新 SessionId
            req.changeSessionId();

            // ③ "记住我 7 天"：写一个安全的 Cookie
            Cookie remember = new Cookie("remember", java.util.UUID.randomUUID().toString());
            remember.setMaxAge(7 * 24 * 60 * 60);
            remember.setHttpOnly(true);   // JS 读不到，防 XSS
            remember.setSecure(true);     // 只 HTTPS 传
            remember.setAttribute("SameSite", "Strict");
            resp.addCookie(remember);

            resp.sendRedirect("/home");
        } else {
            req.setAttribute("error", "用户名或密码错");
            req.getRequestDispatcher("/login.jsp").forward(req, resp);
        }
    }
}

// 登出：销毁 Session
@WebServlet("/logout")
public class LogoutServlet extends HttpServlet {
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws IOException {
        HttpSession session = req.getSession(false);  // 没有就不新建
        if (session != null) session.invalidate();  // 立刻清空
        resp.sendRedirect("/login.jsp");
    }
}

// 分布式 Session 思路（多台 Tomcat 集群）：
// 方案 A：Session 粘滞（Nginx 把同一用户固定打到同一台 Tomcat）
// 方案 B：Session 集中存 Redis（Spring Session 实现，所有机器共享）
// 方案 C：不用 Session，用 JWT Token（无状态，服务器不存）

浏览器禁用 Cookie 怎么办：URL 重写兜底

Session 靠 Cookie 存 JSESSIONID，但万一用户浏览器把 Cookie 禁了，Session 就废了。Servlet 提供URL 重写兜底：把 SessionId 直接拼在 URL 尾巴上，比如 /list;jsessionid=ABC123。

// 响应里：用 encodeURL 自动给 URL 拼上 SessionId（Cookie 没禁时它原样返回）
// 注意是 ;jsessionid= 不是 ? ，这是路径参数不是查询串
String link = resp.encodeURL("/list");
// 浏览器支持 Cookie 时返回 /list；禁用时返回 /list;jsessionid=xxx
resp.getWriter().println("<a href=\\" + link + "\\">留言列表</a>");

// 重定向地址也要 encodeRedirectURL
resp.sendRedirect(resp.encodeRedirectURL("/home"));