HTTP是無狀態協議，這意味著每次客戶端檢索網頁時，都要單獨打開一個伺服器連接，因此伺服器不會記錄先前客戶端請求的任何資訊。
有三種方法來維持客戶端與伺服器的會話：
網路伺服器可以指定一個唯一的session ID作為cookie來代表每個客戶端，用來識別這個客戶端接下來的請求。
這可能不是一種有效的方式，因為很多時候瀏覽器不一定支援cookie，所以我們不建議使用這種方法來維持會話。
一個網頁伺服器可以傳送一個隱藏的HTML表單網域和一個唯一的session ID，就像下面這樣：
<input type="hidden" name="sessionid" value="12345">
這個條目意味著，當表單被提交時，指定的名稱和值將會自動包含在GET或POST資料中。每當瀏覽器發送一個請求，session_id的值就可以用來保存不同瀏覽器的軌跡。
這種方式可能是一種有效的方式，但點擊<A HREF>標籤中的超連結時不會產生表單提交事件，因此隱藏表單域也不支援通用會話追蹤。
您可以在每個URL後面添加一些額外的資料來區分會話，伺服器能夠根據這些資料來關聯session標識符。
舉例來說，http://w3cschool.cn/file.htm;sessionid=12345， session識別碼為sessionid=12345，伺服器可以用這個資料來辨識客戶端。
相較而言，重寫URL是更好的方式來，就算瀏覽器不支援cookies也能工作，但缺點是您必須為每個URL動態指定session ID，就算這是個簡單的HTML頁面。
除了以上幾種方法外，JSP利用servlet提供的HttpSession介面來識別一個用戶，儲存這個用戶的所有存取資訊。
預設情況下，JSP允許會話跟踪，一個新的HttpSession物件將會自動地為新的客戶端實例化。禁止會話追蹤需要明確地關掉它，透過將page指令中session屬性值設為false來實現，就像下面一樣：
<%@ page session="false" %>
JSP引擎將隱含的session物件暴露給開發者。由於提供了session對象，開發者就可以方便地儲存或檢索資料。
下表列出了session物件的一些重要方法：
| SN | 方法& 描述 |
|---|---|
| 1 | public Object getAttribute(String name)傳回session物件中與指定名稱綁定的對象，如果不存在則傳回null |
| 2 | public Enumeration getAttributeNames()傳回session物件中所有的物件名稱 |
| 3 | public long getCreationTime()傳回session物件被建立的時間， 以毫秒為單位，從1970年1月1號凌晨開始算起 |
| 4 | public String getId()傳回session物件的ID |
| 5 | public long getLastAccessedTime()傳回客戶端最後造訪的時間，以毫秒為單位，從1970年1月1號凌晨開始算起 |
| 6 | public int getMaxInactiveInterval()傳回最大時間間隔，以秒為單位，servlet 容器將會在這段時間內保持會話開啟 |
| 7 | public void invalidate()將session無效化，解綁任何與該session綁定的對象 |
| 8 | public boolean isNew(傳回是否為新的客戶端，或客戶端是否拒絕加入session |
| 9 | public void removeAttribute(String name)移除session中指定名稱的物件 |
| 10 | public void setAttribute(String name, Object value)使用指定的名稱和值來產生一個物件並綁定到session中 |
| 11 | public void setMaxInactiveInterval(int interval)用來指定時間，以秒為單位，servlet容器將會在這段時間內保持會話有效 |
這個範例描述如何使用HttpSession物件來取得建立時間和最後一次造訪時間。我們將會為request對象關聯一個新的session對象，如果這個對象尚未存在的話。
<%@ page import="java.io.*,java.util.*" %><% // 取得session建立時間Date createTime = new Date(session.getCreationTime()); // 取得最後造訪頁面的時間Date lastAccessTime = new Date(session.getLastAccessedTime()); String title = "Welcome Back to my website"; Integer visitCount = new Integer(0); String visitCountKey = new String("visitCount"); String userIDKey = new String("userID"); String userID = new String("ABCD"); // 偵測網頁是否由新的存取使用者if (session.isNew()){ title = "Welcome to my website"; session.setAttribute(userIDKey, userID); session.setAttribute(visitCountKey, visitCount); } visitCount = (Integer)session.getAttribute(visitCountKey); visitCount = visitCount + 1; userID = (KeyString). .setAttribute(visitCountKey, visitCount); %><html><head><title>Session Tracking</title></head><body><center><h1>Session Tracking</h1></center><table align="center" > <tr bgcolor="#949494"> <th>Session info</th> <th>Value</th></tr> <tr> <td>id</td> <td><% out.print( session.getId()); %></td></tr> <tr> <td>Creation Time</td> <td><% out.print(createTime); %></td ></tr> <tr> <td>Time of Last Access</td> <td><% out.print(lastAccessTime); %></td></tr> <tr> <td>User ID< /td> <td><% out.print(userID); %></td></tr> <tr> <td>Number of visits</td> <td><% out.print(visitCount); %></td></ tr> </table> </body></html>試著造訪http://localhost:8080/main.jsp ，第一次執行時將會得到以下結果：
再次訪問，將會得到以下結果：
處理完一個使用者的會話資料後，您可以有以下選擇：
移除一個特定的屬性：
呼叫public void removeAttribute(String name) 方法移除指定的屬性。
刪除整個會話：
呼叫public void invalidate() 方法來使整個session無效。
設定會話有效期限：
呼叫public void setMaxInactiveInterval(int interval) 方法來設定session逾時。
登出用戶：
支援servlet2.4版本的伺服器，可以呼叫logout()方法來登出用戶，並且使所有相關的session無效。
配置web.xml檔：
如果使用的是Tomcat，可以像下面這樣設定web.xml檔：
<session-config> <session-timeout>15</session-timeout> </session-config>
超時以分鐘為單位，Tomcat中的預設的超時時間是30分鐘。
Servlet中的getMaxInactiveInterval( ) 方法以秒為單位傳回逾時時間。如果在web.xml中配置的是15分鐘，則getMaxInactiveInterval( ) 方法將會傳回900。