通过最近测试的项目，认识到实际：浏览器后退键退出系统，会话仍旧有效。打破了之前认为浏览器后退键就会退出系统登录的认知。
一，了解Cookie和Session的作用，具体来说cookie机制采用的是在客户端保持状态的方案，而session机制采用的是在服务器端保持状态的方案。
如果不设置过期时间，则表示这个cookie生命周期为浏览器会话期间，只要关闭浏览器窗口，cookie就消失了。这种生命期为浏览会话期的cookie被称为会话cookie。会话cookie一般不保存在硬盘上而是保存在内存里。
如果设置了过期时间，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie依然有效直到超过设定的过期时间。存储在硬盘上的cookie可以在不同的浏览器进程间共享，比如两个IE窗口。而对于保存在内存的cookie，不同的浏览器有不同的处理方式。
session，中文经常翻译为会话，其本来的含义是指有始有终的一系列动作/消息，比如打电话是从拿起电话拨号到挂断电话这中间的一系列过程可以称之为一个session。
二、是否只要关闭浏览器，session就消失了
程序一般都是在用户做log off的时候发个指令去删除session，然而浏览器从来不会主动在关闭之前通知服务器它将要被关闭，因此服务器根本不会有机会知道浏览器已经关闭。服务器会一直保留这个会话对象直到它处于非活动状态超过设定的间隔为止。
之所以会有这种错误的认识，是因为大部分session机制都使用会话cookie来保存session id，而关闭浏览器后这个session id就消失了，再次连接到服务器时也就无法找到原来的session。
如果服务器设置的cookie被保存到硬盘上，或者使用某种手段改写浏览器发出的HTTP请求报头，把原来的session id发送到服务器，则再次打开浏览器仍然能够找到原来的session。
恰恰是由于关闭浏览器不会导致session被删除，迫使服务器为session设置了一个失效时间，当距离客户上一次使用session的时间超过了这个失效时间时，服务器就可以认为客户端已经停止了活动，才会把session删除以节省存储空间。
由此我们可以得出如下结论：
关闭浏览器，只会是浏览器端内存里的session cookie消失，但不会使保存在服务器端的session对象消失，同样也不会使已经保存到硬盘上的持久化cookie消失。
总结：session 是服务器对象，每个 session 都由唯一的 session id 标识。sessionid 存储于内存中Cookie，关闭浏览器时 session id 会随内存中 Cookie 消失，而session 不会随之消失。不过再次打开浏览器时已经无法找到原有的 session了。另外，session 超时后会被清除。
业务场景说明：使用用户名密码登录系统后，点击浏览器的后退按钮退出登录，系统退回到登录页面，此时再点击浏览器的登录按钮，可以重新登录系统。
之前认为这是缺陷，了解cookie和session后，学习到这并不是功能缺陷，避免这种现象的办法是让开发人员增加登录前的校验，但是他可能不会改。