1. HTTP协议基础与核心特性解析
HTTP作为Web开发的基石协议，其工作原理直接影响着JavaWeb应用的架构设计。从浏览器输入URL到页面渲染完成的整个过程，本质上都是HTTP报文在客户端与服务器之间的传递。理解HTTP的无状态特性尤为重要——服务器不会记住之前的请求信息，这种设计虽然简化了服务器实现，但也催生了Cookie/Session等状态管理机制。
HTTP/1.1版本持续连接（Keep-Alive）的特性允许单个TCP连接处理多个请求，这显著提升了性能。但要注意默认的浏览器并发连接数限制（通常每个域名6个），这也是为什么现代前端需要合并资源文件。状态码方面，除了常见的200（成功）、404（未找到）、500（服务器错误），301/302重定向状态码在登录跳转、URL规范化等场景中扮演关键角色。
实际开发中常见误区：将POST当作万能安全方法使用。实际上POST仅表示"处理数据"，敏感操作应该配合CSRF防护机制。安全的API设计应当严格遵循RESTful规范，使用PUT/DELETE等语义化方法。
2. Tomcat容器深度配置实践
作为Servlet规范的参考实现，Tomcat的架构设计体现了经典JavaEE容器的分层思想。Connector组件处理网络通信（支持BIO/NIO/APR三种模式），Engine容器管理虚拟主机，Context对应单个Web应用。调试时通过catalina.sh jpda start启用JPDA远程调试是排查复杂问题的利器。
server.xml中关键配置项：
<Connector port="8080" protocol="HTTP/1.1" maxThreads="200" minSpareThreads="10" acceptCount="100" connectionTimeout="20000"/>线程池参数需要根据压测结果调整：maxThreads决定并发处理能力，acceptCount影响请求队列长度。生产环境务必关闭自动重载功能（reloadable="false"），否则可能引发内存泄漏。
常见性能优化手段包括：
- 启用NIO模式提升IO效率
- 配置JVM参数（-Xms/-Xmx设置堆大小）
- 静态资源交给Nginx处理
- 开启gzip压缩减小传输体积
3. Servlet编程核心模式
Servlet的生命周期由容器严格管理：init()初始化时加载配置参数，service()根据请求方法路由到doGet/doPost，destroy()释放数据库连接等资源。这种单例多线程模型要求开发者特别注意线程安全问题——避免使用实例变量保存请求相关状态。
请求处理典型流程：
protected void doGet(HttpServletRequest req, HttpServletResponse resp) { // 1. 获取参数（注意字符编码处理） String name = req.getParameter("name"); // 2. 业务逻辑处理 User user = userService.findByName(name); // 3. 设置响应（明确指定Content-Type） resp.setContentType("application/json"); resp.getWriter().write(JsonUtils.toJson(user)); }过滤器(Filter)和监听器(Listener)是Servlet规范的重要扩展：
- 过滤器链实现权限验证、日志记录等横切关注点
- 监听器可捕获session创建/销毁事件，用于在线用户统计
4. 会话管理实战方案
Cookie与Session机制解决了HTTP无状态的问题，但存在以下技术细节：
- Session默认通过JSESSIONID Cookie维持，浏览器禁用Cookie时需URL重写
- Tomcat的StandardManager将session序列化到磁盘，集群环境应改用Redis等分布式方案
- 敏感操作应该设置session超时时间（web.xml中
<session-config>）
安全注意事项：
// 生成CSRF令牌的典型实现 String token = UUID.randomUUID().toString(); request.getSession().setAttribute("csrfToken", token); request.setAttribute("csrfToken", token); // 在表单中隐藏域提交 <input type="hidden" name="csrfToken" value="${csrfToken}">5. 性能优化与异常处理
连接池配置示例（以HikariCP为例）：
# 在context.xml或应用配置中 jdbc.driver=com.mysql.cj.jdbc.Driver jdbc.url=jdbc:mysql://localhost:3306/db?useSSL=false jdbc.username=root jdbc.password=123456 pool.maximumPoolSize=20 pool.connectionTimeout=30000全局异常处理策略：
- 自定义错误页面（web.xml中配置
<error-page>） - 过滤器捕获未处理异常
- 统一JSON错误格式（适合API场景）
@WebServlet("/error") public class ErrorHandler extends HttpServlet { protected void doGet(HttpServletRequest req, HttpServletResponse resp) { Throwable ex = (Throwable)req.getAttribute("javax.servlet.error.exception"); resp.setStatus(HttpServletResponse.SC_INTERNAL_SERVER_ERROR); resp.getWriter().write("{\"error\":\"" + ex.getMessage() + "\"}"); } }6. 安全防护要点
必须防范的Web漏洞及解决方案：
SQL注入：始终使用PreparedStatement
// 错误示范 String sql = "SELECT * FROM users WHERE name='" + name + "'"; // 正确做法 String sql = "SELECT * FROM users WHERE name=?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setString(1, name);XSS攻击：对输出内容进行HTML转义
<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %> ${fn:escapeXml(userInput)}文件上传漏洞：限制扩展名、扫描文件内容、存储到非Web目录
7. 现代演进与替代方案
虽然传统Servlet API仍在广泛使用，但需要注意：
- Spring MVC等框架已经封装了底层的Servlet操作
- 响应式编程（如WebFlux）提供了非阻塞IO的替代方案
- JAX-RS规范（如Jersey）更适合RESTful服务开发
对于新项目，建议采用Spring Boot简化配置：
@SpringBootApplication public class App { public static void main(String[] args) { SpringApplication.run(App.class, args); } } @RestController @RequestMapping("/api") public class UserController { @GetMapping("/users/{id}") public User getUser(@PathVariable Long id) { return userService.findById(id); } }实际部署时，将Tomcat替换为Undertow或Jetty可能获得更好的性能表现。对于微服务架构，考虑直接使用Netty实现自定义协议处理。
