登录，太难了

HttpSession session = request.getSession(false);

1、用户第一次请求登录，要先将还存在服务器端的session置为无效：

if(session != null)

    session.invalidate();

然后生成session：

session = request.getSession();

可以设置隔多长时间不操作session就删除session：

session.setMaxInactiveInterval(60 * 60);

response.setStatus(401);
response.setHeader("WWWAuthenticat", "qwerasdfzcxv");

2、从头文件获取用户登录的认证信息，包含用户ID和认证字符串等。

3、根据用户ID去数据库获取用户信息，拼接字符串生成认证密文和头文件里的认证字符串比较，确认是否登录成功。

4、登出操作：

HttpSession session = request.getSession();
if (session == null)
    response.setStatus("500");
else
    session.invalidate();