当一个程序调用request.getSession()方法时，服务器明确的知道需要用到session，此时就创建session，如果session超过30分钟(可以在web.xml中配置)没人使用，服务器就认为这个session超时了需要销毁，明确的调用session.invalidate()session立即销毁，如果服务器非正常关闭或web应用被移除容器，随着web应用的销毁session也销毁，如果正常关闭服务器，session会被钝化，下次服务器启动，没有超时的session会被活化过来
服务器调用request.getSession()方法时，会在内存中创建一个session对象，此对象具有一个独一无二的id值，此id会将以cookie的形式发送到浏览器，浏览器以后每次访问都会带着这个cookie,服务器就利用此cookie区分浏览器找到对应的session空间
cookie是在浏览器上，session是在服务器器上 cookie是很不安全的，别人可以分析存放在本地cookie进行cookie欺骗、 session会在一定时间内保存在服务器上，当访问多的话，会占用服务器的性能，减轻服务器压力，使用cookie
