session對象當客戶端首次訪問時，創建一個新的session對象。并同時生成一個sessionId，并在此次響應中將sessionId 以響應報文的方式些回客戶端瀏覽器內存或以重寫url方式送回客戶端，來保持整個會話，只要sever端的這個session對象沒有銷毀，以后再調用 request.getSession（）時就直接根據客戶端的sessionId來檢索 server端生成的session對象并返回，不會再次去新建，除非根據此sessionId沒有檢索到session對象。
下面是在IE下測試，因為IE6.0的一個BUG就是IE的隱私設置即使是阻止所有cookie時，也還是會以會話cookie來保存sessionId.所以下面都是以會話cookie來討論的，
（1）在server沒有關閉，并在session對象銷毀時間內，當客戶端再次來請求server端的servlet或jsp時，將會將在第 一次請求時生成的sessionId并附帶在請求信息頭中并向server端發送， server端收到sessionId后根據此sessionId會去搜索（此過程是透明的）server對應的session對象并直接返回這個 session對象，此時不會重新去建立一個新的session對象。
（2）當server關閉（之前產生的session對象也就消亡了），或 session對象過了其銷毀時間后，瀏覽器窗口不關，并在本瀏覽器窗口再次去請求sever端的servlet和jsp時，此時同樣會將 sessionId（server關閉或session銷毀時生成的sessionId）發送到server端，server根據sessionId去找 其對應的session對象，但此時session對象已經不存在，此時會重新生成一個新的session對象，并生成新的sessionId并同樣將這 個新生成的sessionId以響應報文的形式送到瀏覽器內存中。
（3）當server沒有關閉，并session對象在其銷毀時間內，當請求一個 jsp頁面回客戶端后，關閉此瀏覽器窗口，此時其內存中的sessionId也就隨之銷毀，在重新去請求sever端的servlet或jsp時，會重新 生成一個sessionId給客戶端瀏覽器，并存在瀏覽內存中。