2023JavaWeb面试问答

说一说Servlet的生命周期?

Servlet有良好的生存期的定义，包括加载和实例化、初始化、处理请求以及服务结束。这个生存期由javax.servlet.Servlet接口的init(),service()和destroy方法表达。

Servlet被服务器实例化后，容器运行其init方法，请求到达时运行其service方法，service方法自动派遣运行与请求对应的doXXX方法（doGet，doPost）等，当服务器决定将实例销毁的时候调用其destroy方法。

web容器加载servlet，生命周期开始。通过调用servlet的init()方法进行servlet的初始化。通过调用service()方法实现，根据请求的不同调用不同的do()方法。结束服务，web容器调用servlet的destroy()方法。

Servlet APl中forward()与redirect()的区别?

从地址栏显示来说
forward是服务器请求资源,服务器直接访问目标地址的URL,把那个URL的响应内容读取过来,然后把这些内容再发给浏览器.浏览器根本不知道服务器发送的内容从哪里来的,所以它的地址栏还是原来的地址.
redirect是服务端根据逻辑,发送一个状态码,告诉浏览器重新去请求那个地址.所以地址栏显示的是新的URL.所以redirect等于客户端向服务器端发出两次request，同时也接受两次response。

从数据共享来说
forward:转发页面和转发到的页面可以共享request里面的数据.

redirect:不能共享数据.

redirect不仅可以重定向到当前应用程序的其他资源,还可以重定向到同一个站点上的其他应用程序中的资源,甚至是使用绝对URL重定向到其他站点的资源.
forward方法只能在同一个Web应用程序内的资源之间转发请求.forward 是服务器内部的一种操作.

redirect 是服务器通知客户端,让客户端重新发起请求.
所以,你可以说 redirect 是一种间接的请求, 但是你不能说”一个请求是属于forward还是redirect “

从运用地方来说
forward:一般用于用户登陆的时候,根据角色转发到相应的模块.
redirect:一般用于用户注销登陆时返回主页面和跳转到其它的网站等.

从效率来说
forward:高.
redirect:低.

request.getAttribute()和request.getParameter()有何区别?

1. request.getParameter()取得是通过容器的实现来取得通过类似post，get等方式传入的数据。request.setAttribute()和getAttribute()只是在web容器内部流转，仅仅是请求处理阶段。
2. getAttribute是返回对象,getParameter返回字符串
3. getAttribute()一向是和setAttribute()一起使用的，只有先用setAttribute()设置之后，才能够通过getAttribute()来获得值，它们传递的是Object类型的数据。而且必须在同一个request对象中使用才有效。,而getParameter()是接收表单的get或者post提交过来的参数

jsp静态包含和动态包含的区别?

1. 为jsp中的编译指令，其文件的包含是发生在jsp向servlet转换的时期，而是jsp中的动作指令，其文件的包含是发生在编译时期，也就是将java文件编译为class文件的时期
2. 使用静态包含只会产生一个class文件，而使用动态包含会产生多个class文件
3. 使用静态包含，包含页面和被包含页面的request对象为同一对象，因为静态包含只是将被包含的页面的内容复制到包含的页面中去；而动态包含包含页面和被包含页面不是同一个页面，被包含的页面的request对象可以取到的参数范围要相对大些，不仅可以取到传递到包含页面的参数，同样也能取得在包含页面向下传递的参数

MVC的各个部分都有那些技术来实现?如何实现?

MVC是Model－View－Controller的简写。Model代表的是应用的业务逻辑（通过JavaBean，EJB组件实现），View是应用的表示面（由JSP页面产生），Controller是提供应用的处理过程控制（一般是一个Servlet），通过这种设计模型把应用逻辑，处理过程和显示逻辑分成不同的组件实现。这些组件可以进行交互和重用。

jsp有哪些内置对象?作用分别是什么?

JSP有9个内置对象：

• request：封装客户端的请求，其中包含来自GET或POST请求的参数；

• response：封装服务器对客户端的响应；

• pageContext：通过该对象可以获取其他对象；

• session：封装用户会话的对象；

• application：封装服务器运行环境的对象；

• out：输出服务器响应的输出流对象；

• config：Web应用的配置对象；

• page：JSP页面本身（相当于Java程序中的this）；

• exception：封装页面抛出异常的对象

session 和 cookie 有什么区别?

• 由于HTTP协议是无状态的协议，所以服务端需要记录用户的状态时，就需要用某种机制来识具体的用户，这个机制就是Session.典型的场景比如购物车，当你点击下单按钮时，由于HTTP协议无状态，所以并不知道是哪个用户操作的，所以服务端要为特定的用户创建了特定的Session，用用于标识这个用户，并且跟踪用户，这样才知道购物车里面有几本书。这个Session是保存在服务端的，有一个唯一标识。在服务端保存Session的方法很多，内存、数据库、文件都有。集群的时候也要考虑Session的转移，在大型的网站，一般会有专门的Session服务器集群，用来保存用户会话，这个时候Session 信息都是放在内存的，使用一些缓存服务比如Memcached之类的来放 Session。

• 思考一下服务端如何识别特定的客户？这个时候Cookie就登场了。每次HTTP请求的时候，客户端都会发送相应的Cookie信息到服务端。实际上大多数的应用都是用Cookie 来实现Session跟踪的，第一次创建Session的时候，服务端会在HTTP协议中告诉客户端，需要在 Cookie里面记录一个Session ID，以后每次请求把这个会话ID发送到服务器，我就知道你是谁了。
  有人问，如果客户端的浏览器禁用了 Cookie怎么办？一般这种情况下，会使用一种叫做URL重写的技术来进行会话跟踪，即每次HTTP交互，URL后面都会被附加上一个诸如sid=xxxxx 这样的参数，服务端据此来识别用户。
  Cookie其实还可以用在一些方便用户的场景下，设想你某次登陆过一个网站，下次登录的时候不想再次输入账号了，怎么办？
  这个信息可以写到Cookie里面，访问网站的时候，网站页面的脚本可以读取这个信息，就自动帮你把用户名给填了，能够方便一下用户。这也是Cookie名称的由来，给用户的一点甜头。所以，总结一下：Session是在服务端保存的一个数据结构，用来跟踪用户的状态，这个数据可以保存在集群、数据库、文件中；Cookie是客户端保存用户信息的一种机制，用来记录用户的一些信息，也是实现Session的一种方式。

jsp 和 servlet 有什么区别?

• jsp经编译后就变成了Servlet.（JSP的本质就是Servlet，JVM只能识别java的类，不能识别JSP的代码，Web容器将JSP的代码编译成JVM能够识别的java类）
• jsp更擅长表现于页面显示，servlet更擅长于逻辑控制。
• Servlet中没有内置对象，Jsp中的内置对象都是必须通过HttpServletRequest对象，HttpServletResponse对象以及HttpServlet对象得到。
• Jsp是Servlet的一种简化，使用Jsp只需要完成程序员需要输出到客户端的内容，Jsp中的Java脚本如何镶嵌到一个类中，由Jsp容器完成。而Servlet则是个完整的Java类，这个类的Service方法用于生成对客户端的响应。

tomcat容器是如何创建servlet类实例?用到了什么原理?

当容器启动时，会读取在webapps目录下所有的web应用中的web.xml文件，然后对xml文件进行解析，并读取servlet注册信息。然后，将每个应用中注册的servlet类都进行加载，并通过反射的方式实例化。（有时候也是在第一次请求时实例化）
在servlet注册时加上1如果为正数，则在一开始就实例化，如果不写或为负数，则第一次请求实例化。

如何避免 sql 注入?PreparedStatement（简单又有效的方法）

• 使用正则表达式过滤传入的参数

• 字符串过滤

• JSP中调用该函数检查是否包函非法字符

• JSP页面判断代码

什么是 XSS 攻击，如何避免?

XSS攻击又称CSS,全称Cross Site Script （跨站脚本攻击），其原理是攻击者向有XSS漏洞的网站中输入恶意的 HTML 代码，当用户浏览该网站时，这段 HTML 代码会自动执行，从而达到攻击的目的。XSS 攻击类似于 SQL 注入攻击，SQL注入攻击中以SQL语句作为用户输入，从而达到查询/修改/删除数据的目的，而在xss攻击中，通过插入恶意脚本，实现对用户游览器的控制，获取用户的一些信息。XSS是 Web 程序中常见的漏洞，XSS 属于被动式且用于客户端的攻击方式。

XSS防范的总体思路是：对输入(和URL参数)进行过滤，对输出进行编码。

什么是 CSRF 攻击，如何避免?

CSRF（Cross-site request forgery）也被称为 one-click attack或者 session riding，中文全称是叫跨站请求伪造。一般来说，攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。常用于盗取账号、转账、发送虚假消息等。攻击者利用网站对请求的验证漏洞而实现这样的攻击行为，网站能够确认请求来源于用户的浏览器，却不能验证请求是否源于用户的真实意愿下的操作行为。

如何避免：

1.验证 HTTP Referer 字段

HTTP头中的Referer字段记录了该 HTTP 请求的来源地址。在通常情况下，访问一个安全受限页面的请求来自于同一个网站，而如果黑客要对其实施 CSRF
攻击，他一般只能在他自己的网站构造请求。因此，可以通过验证Referer值来防御CSRF 攻击。

2.使用验证码

关键操作页面加上验证码，后台收到请求后通过判断验证码可以防御CSRF。但这种方法对用户不太友好。

3.在请求地址中添加token并验证

CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于cookie中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的cookie 来通过安全验证。要抵御 CSRF，关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有token或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。这种方法要比检查 Referer 要安全一些，token 可以在用户登陆后产生并放于session之中，然后在每次请求时把token 从 session 中拿出，与请求中的 token 进行比对，但这种方法的难点在于如何把 token 以参数的形式加入请求。
对于 GET 请求，token 将附在请求地址之后，这样 URL 就变成 http://url?csrftoken=tokenvalue。
而对于 POST 请求来说，要在 form 的最后加上 ，这样就把token以参数的形式加入请求了。

4. 在HTTP 头中自定义属性并验证

这种方法也是使用 token 并进行验证，和上一种方法不同的是，这里并不是把 token 以参数的形式置于 HTTP 请求之中，而是把它放到 HTTP 头中自定义的属性里。通过 XMLHttpRequest 这个类，可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性，并把 token 值放入其中。这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。

JDBC访问数据库的基本步骤是什么?

1，加载驱动
2，通过DriverManager对象获取连接对象Connection
3，通过连接对象获取会话
4，通过会话进行数据的增删改查，封装对象
5，关闭资源

说说preparedStatement和Statement的区别?

1，效率：预编译会话比普通会话对象，数据库系统不会对相同的sql语句不会再次编译

2，安全性：可以有效的避免sql注入攻击！sql注入攻击就是从客户端输入一些非法的特殊字符，而使服务器端在构造sql语句的时候仍然能够正确构造，从而收集程序和服务器的信息和数据。
比如：“select * from t_user where userName = ‘” + userName + “ ’ and password =’” + password + “’”

如果用户名和密码输入的是’1’ or ‘1’=’1’; 则生产的sql语句是：
“select * from t_user where userName = ‘1’ or ‘1’ =’1’ and password =’1’ or ‘1’=’1’这个语句中的where 部分没有起到对数据筛选的作用。

说说事务的概念，在JDBC编程中处理事务的步骤。

1，事务是作为单个逻辑工作单元执行的一系列操作。
2，一个逻辑工作单元必须有四个属性，称为原子性、一致性、隔离性和持久性 (ACID) 属性，只有这样才能成为一个事务
事务处理步骤：
3，conn.setAutoComit(false);设置提交方式为手工提交
4，conn.commit()提交事务
5，出现异常，回滚 conn.rollback();

数据库连接池的原理，为什么要使用连接池?

1，数据库连接是一件费时的操作，连接池可以使多个操作共享一个连接。

2，数据库连接池的基本思想就是为数据库连接建立一个“缓冲池”。预先在缓冲池中放入一定数量的连接，当需要建立数据库连接时，只需从“缓冲池”中取出一个，使用完毕之后再放回去。

我们可以通过设定连接池最大连接数来防止系统无尽的与数据库连接。更为重要的是我们可以通过连接池的管理机制监视数据库的连接的数量、使用情况，为系统开发，测试及性能调整提供依据。

3，使用连接池是为了提高对数据库连接资源的管理

JDBC的脏读是什么?哪种数据库隔离级别能防止脏读?

当我们使用事务时，有可能会出现这样的情况，有一行数据刚更新，与此同时另一个查询读到了这个刚更新的值。

这样就导致了脏读，因为更新的数据还没有进行持久化，更新这行数据的业务可能会进行回滚，这样这个数据就是无效的。

数据库的TRANSACTIONREADCOMMITTED，TRANSACTIONREPEATABLEREAD，和TRANSACTION_SERIALIZABLE隔离级别可以防止脏读。

JDBC的DriverManager是用来做什么的?

JDBC的DriverManager是一个工厂类，我们通过它来创建数据库连接。当JDBC的Driver类被加载进来时，它会自己注册到DriverManager类里面

然后我们会把数据库配置信息传成DriverManager.getConnection()方法，DriverManager会使用注册到它里面的驱动来获取数据库连接，并返回给调用的程序。

execute，executeQuery，executeUpdate的区别是什么?

1. Statement的execute(String query)方法用来执行任意的SQL查询，如果查询的结果是一个ResultSet，这个方法就返回true。
   如果结果不是ResultSet，比如insert或者update查询，它就会返回false。我们可以通过它的getResultSet方法来获取ResultSet，或者通过getUpdateCount()方法来获取更新的记录条数。

2. Statement的executeQuery(String query)接口用来执行select查询，并且返回ResultSet。即使查询不到记录返回的ResultSet也不会为null。我们通常使用executeQuery来执行查询语句，这样的话如果传进来的是insert或者update语句的话，它会抛出错误信息为“executeQuery method can not be used for update”的java.util.SQLException。 ,

3. Statement的executeUpdate(String query)方法用来执行insert或者update/delete（DML）语句，或者什么也不返回，对于DDL语句，返回值是int类型，如果是DML语句的话，它就是更新的条数，如果是DDL的话，就返回0。
   只有当你不确定是什么语句的时候才应该使用execute()方法，否则应该使用executeQuery或者executeUpdate方法。

SQL查询出来的结果分页展示一般怎么做?

Oracle：

select * from
(select *,rownum as tempid from student )  t
where t.tempid between ” + pageSize*(pageNumber-1) + ” and ” + pageSize*pageNumber

MySQL：

select * from students limit ” + pageSize*(pageNumber-1) + “,” + pageSize;

sql server:

select top ” + pageSize + ” * from students where id not in +
(select top ” + pageSize * (pageNumber-1) +  id from students order by id) +  
“order by id;

JDBC的ResultSet是什么?

在查询数据库后会返回一个ResultSet，它就像是查询结果集的一张数据表。
ResultSet对象维护了一个游标，指向当前的数据行。开始的时候这个游标指向的是第一行。

如果调用了ResultSet的next()方法游标会下移一行，如果没有更多的数据了，next()方法会返回false。可以在for循环中用它来遍历数据集。

默认的ResultSet是不能更新的，游标也只能往下移。也就是说你只能从第一行到最后一行遍历一遍。不过也可以创建可以回滚或者可更新的ResultSet

当生成ResultSet的Statement对象要关闭或者重新执行或是获取下一个ResultSet的时候，ResultSet对象也会自动关闭。

可以通过ResultSet的getter方法，传入列名或者从1开始的序号来获取列数据。

AJAX有哪些优点和缺点?

优点：

​ 1、最大的一点是页面无刷新，用户的体验非常好。

​ 2、使用异步方式与服务器通信，具有更加迅速的响应能力。

​ 3、可以把以前一些服务器负担的工作转嫁到客户端，利用客户端闲置的能力来处理，减轻服务器和带宽的负担，节约空间和宽带租用成本。并且减轻服务器的负担，ajax的原则是“按需取数据”，可以最大程度的减少冗余请求，和响应对服务器造成的负担。

​ 4、基于标准化的并被广泛支持的技术，不需要下载插件或者小程序。

缺点：

​ 1、ajax不支持浏览器back按钮。

​ 2、安全问题 AJAX暴露了与服务器交互的细节。

​ 3、对搜索引擎的支持比较弱。

​ 4、破坏了程序的异常机制。

​ 5、不容易调试。

AJAX应用和传统Web应用有什么不同?

在传统的Javascript编程中，如果想得到服务器端数据库或文件上的信息，或者发送客户端信息到服务器，需要建立一个HTML form然后GET或者POST数据到服务器端。用户需要点击”Submit”按钮来发送或者接受数据信息，然后等待服务器响应请求，页面重新加载。

因为服务器每次都会返回一个新的页面， 所以传统的web应用有可能很慢而且用户交互不友好。

使用AJAX技术， 就可以使Javascript通过XMLHttpRequest对象直接与服务器进行交互。

通过HTTP Request， 一个web页面可以发送一个请求到web服务器并且接受web服务器返回的信息(不用重新加载页面)，展示给用户的还是同一个页面，用户感觉页面刷新，也看不到到Javascript后台进行的发送请求和接受响应，体验非常好。

Ajax的实现流程是怎样的?

(1)创建XMLHttpRequest对象,也就是创建一个异步调用对象.

(2)创建一个新的HTTP请求,并指定该HTTP请求的方法、URL及验证信息.

(3)设置响应HTTP请求状态变化的函数.

(4)发送HTTP请求.

(5)获取异步调用返回的数据.

(6)使用JavaScript和DOM实现局部刷新.

具体一点：

1，创建XNLHttpRequest对象

（不考虑ie）XMLHttpRequest request = new XMLHttprequest（）；

2，创建新的Http请求

XMLHttprequest.open（method,url,flag,name,password）;

3，设置响应Http请求变化的函数

XMLHttprequest.onreadystatechange=getData;

function getData(){

if(XMLHttprequest.readyState==4){

获取数据

​ }

}

4，发送http请求

XMLHttprequest.send(data)；

5，获取异步调用返回的对象

function(data){

//异步提交后，交互成功，返回的data便是异步调用返回的对象，该对象是一个string类型的

}

6，使用js、DOM实现局部刷新

myDiv.innerHTML=‘‘这是刷新后的数据’’

什么是JDBC?

JDBC的全称是Java DataBase Connection，也就是Java数据库连接，我们可以用它来操作关系型数据库。 JDBC接口及相关类在java.sql包和javax.sql包里。 我们可以用它来连接数据库，执行SQL查询，存储过程，并处理返回的结果。

原生 JDBC操作数据库流程?

1.Class.forName()加载数据库连接驱动； 2.DriverManager.getConnection()获取数据连接对象; 3.根据 SQL 获取 sql 会话对象，有 2 种方式 Statement、PreparedStatement ;
4.执行 SQL 处理结果集，执行 SQL 前如果有参数值就设置参数值 setXXX();
5.关闭结果集、关闭会话、关闭连接。

常见的JDBC异常有哪些?

• java.sql.SQLException：JDBC异常的基类。

• java.sql.BatchUpdateException：当批处理操作执行失败的时候可能会抛出这个异常。这取决于具体的JDBC驱动的实现，它也可能直接抛出基类异常java.sql.SQLException中。

• java.sql.SQLWarning：SQL操作出现的警告信息。

• java.sql.DataTruncation：字段值由于某些非正常原因被截断了

JDBC的DataSource是什么，有什么好处?

DataSource即数据源，它是定义在javax.sql中的一个接口，跟DriverManager相比，它的功能要更强大。我们可以用它来创建数据库连接，当然驱动的实现类会实际去完成这个工作。除了能创建连接外，它还提供了如下的特性：

• 缓存PreparedStatement以便更快的执行

• 可以设置连接超时时间

• 提供日志记录的功能

• ResultSet大小的最大阈值设置

• 通过JNDI的支持，可以为servlet容器提供连接池的功能

JDBC的DriverManager是用来做什么的?

JDBC的DriverManager是一个工厂类，我们通过它来创建数据库连接。当JDBC的Driver类被加载进来时，它会自己注册到DriverManager类里面，然后我们会把数据库配置信息传成DriverManager.getConnection()方法，DriverManager会使用注册到它里面的驱动来获取数据库连接，并返回给调用的程序。

RowSet和ResultSet的区别?

RowSet继承自ResultSet，因此它有ResultSet的全部功能，同时它自己添加了些额外的特性。 RowSet一个最大的好处是它可以是离线的，这样使得它更轻量级，同时便于在网络间进行传输。

HTTP中重定向和请求转发的区别?

本质区别：

• 转发是服务器行为
• 重定向是客户端行为

重定向特点：两次请求，浏览器地址发生变化，可以访问自己 web 之外的资源，传输的数据会丢失。 请求转发特点：一次强求，浏览器地址不变，访问的是自己本身的 web 资源，传输的数据不会丢失。

如何利用实现自动登录?

当用户在某个网站注册后，就会收到一个唯一用户ID的cookie。客户后来重新连接时，这个用户ID会自动返回，服务器对它进行检查，确定它是否为注册用户且选择了自动登录，从而使用户务需给出明确的用户名和密码，就可以访问服务器上的资源。

Cookie的过期和Session的超时有什么区别?

Cookie的过期和Session的超时（过期），都是对某个对象设置一个时间，然后采用轮训机制（或者首次访问时）检查当前对象是否超时（当前对象会保存一个开始时间），如果超时则进行移除。 cookie保存在浏览器中，不安全。而session是保存在服务端的。cookie的生命周期很长，而session很短，一般也就几十分钟。

cookie是保存在客户端，session保存在服务器端，cookie保存着session相关信息。 如果cookie没有超时，那么浏览器每次请求都会带上该cookie信息，服务器端根据cookie信息从session缓存中获取相对应的session。这两个信息有一个超时，用户连接即宣告关闭。

会话的超时由服务器来维护，它不同于Cookie的失效日期。 首先，会话一般基于驻留内存的cookie，不是持续性的cookie，因而也就没有截至日期。 即使截取到JSESSIONID cookie，并为它设定一个失效日期发送出去。浏览器会话和服务器会话也会截然不同。

如何解决分布式 Session 问题?

• Nginx ip_hash策略 ，服务端使用 Nginx 代理，每个请求按访问 IP 的 hash 分配，这样来自同一 IP
  固定访问一个后台服务器，避免了在服务器 A 创建 Session，第二次分发到服务器 B 的现象。
• Session 复制，任何一个服务器上的 Session 发生改变（增删改），该节点会把这个 Session
  的所有内容序列化，然后广播给所有其它节点。
• 共享 Session，服务端无状态话，将用户的 Session 等信息使用缓存中间件来统一管理，保障分发到每一个服务器的响应结果都一致。

在单点登录中，如果 cookie 被禁用了怎么办?

单点登录的原理是后端生成一个 session ID，然后设置到 cookie，后面的所有请求浏览器都会带上 cookie，然后服务端从 cookie 里获取 session ID，再查询到用户信息。 所以，保持登录的关键不是 cookie，而是通过cookie 保存和传输的 session ID，其本质是能获取用户信息的数据。 除了 cookie，还通常使用 HTTP 请求头来传输。但是这个请求头浏览器不会像 cookie 一样自动携带，需要手工处理。

session何时被删除?

session在下列情况下被删除：

• 程序调用HttpSession.invalidate()
• 距离上一次收到客户端发送的session id时间间隔超过了session的最大有效时间
• 服务器进程被停止

注意关闭浏览器只会使存储在客户端浏览器内存中的session cookie失效，不会使服务器端的session对象失效。

什么是过滤器?

定义：： 依赖于servlet容器； 在实现上基于函数回调，可以对几乎所有请求进行过滤； 缺点是一个过滤器实例只能在容器初始化时调用一次；

作用： 用来做一些过滤操作，获取我们想要获取的数据： 在过滤器中修改字符编码； 在过滤器中修改HttpServletRequest的一些参数，包括：过滤低俗文字、危险字符等。

什么是监听器?

定义：： 实现了javax.servlet.ServletContextListener 接口的服务器端程序； 随web应用的启动而启动；只初始化一次； 随web应用的停止而销毁；

作用：： 做一些初始化的内容添加工作、设置一些基本的内容、比如一些参数或者是一些固定的对象等等。如SpringMVC的监听器org.springframework.web.context.ContextLoaderListener，实现了SpringMVC容器的加载、Bean对象创建、DispatchServlet初始化等。

什么是拦截器?

依赖于web框架，在SpringMVC中就是依赖于SpringMVC框架； 在实现上基于Java的反射机制，属于面向切面编程（AOP）的一种运用； 缺点是只能对controller请求进行拦截，对其他的一些比如直接访问静态资源的请求则没办法进行拦截处理；

由于拦截器是基于web框架的调用，因此可以使用Spring的依赖注入（DI）进行一些业务操作，同时一个拦截器实例在一个controller生命周期之内可以多次调用。

过滤器和拦截器的区别?

拦截器	过滤器
基于Java反射机制	基于函数回调
不依赖Servlet容器	依赖Servlet容器
只能对action起作用	几乎对所有请求起作用
可以访问action上下文，值栈里的对象	可以访问action上下文，值栈里的对象
在Action生命周期中，拦截器可以多次被调用	过滤器只能在容器初始化时被调用一次
拦截器不能修改request	过滤器可以修改request
拦截器可以调用IOC容器中的各种依赖	过滤器不能调用IOC容器中的各种依赖
拦截器可以详细到每个方法	过滤器只能在请求的前后使用

过滤器主要是过滤出要的东西，如requeset中的信息；拦截器在做安全方面用的比较多，比如终止一些流程

Servlet与Filter的区别?

Filter是一种特别的Servlet，它们的作用是完全不一样的。 Servlet是用来处理请求的，而Filter是用来过滤检查请求的。

web.xml 的作用?

用于配置Web应用的相关信息 如：监听器（listener）、过滤器（filter）、 Servlet、相关参数、会话超时时间、安全验证方式、错误页面等。

filter的生命周期?

• 启动服务器时加载过滤器的实例，并调用init()方法来初始化实例；
• 每一次请求时都只调用方法doFilter()进行处理；
• 停止服务器时调用destroy()方法，销毁实例。

需要实现javax.servlet包的Filter接口的三个方法init()、doFilter()、destroy()