許多開發人員把應用程序傳送到Web之前從來沒考慮狀態的概念。正如前面說過的，Web是一個無狀態的環境。因此應該探討一下狀態是什麼，了解能夠避免產生問題的方法。
狀態的準確定義
在單用戶程序中，創建一個可執行的應用程序時，例如使用VB建立一個.exe文件，可以聲明一個全局（或Public）變量，然後在代碼中任何地方可對其進行訪問。在應用程序運行的所有時刻，時刻值一直是有效，並且是可訪問的。
對於一個傳統的客戶機/服務器解決方案，例如一個基於客戶機的應用程序對一個基於服務器的數據庫引擎進行訪問的系統，每個客戶端建立了一個與服務器和數據庫應用程序的連接。這種連接通常是通過驗證用戶的方法來建立的。
驗證過程是典型的識別用戶身份的過程，通過一個用戶名和口令組合來證明是否為合法的用戶。
一旦通過驗證，在客戶端和基於服務器的應用程序之間就建立了連接，該連接在用戶使用該應用程序的所有時間內一直保持有效。當用戶註冊到酵Windows 2000服務器上時，這一切便會發生。無論何時，管理員使用Active Directory Users and Computers實用程序（單擊Start菜單的Administrative Tools選項中的Directory Management項）都可以觀察到活動的用戶連接。這個過程在許多系統中都相同，例如Microsoft SQL Server。
這種永久的連接意味著：當用戶發送指令或請求到服務器上時，服務器會很容易地識別每個用戶。同樣服務器的響應或任何其他用戶的信息也能直接返回用戶。要進一步指出的是服務器可以比較容易地存儲與每個客戶相關的值和信息，並在需要的時候提供給相應的客戶。當然，服務器應用程序能夠擁有主全局變量，以便於用戶在需要的時候進行訪問。
這種識別每個客戶端的請求並在內存中保存相關用戶的值的能力構成狀態。可以認為狀態代表應用程序的值、環境以及用戶的內部變量，並貫穿於應用程序和用戶連接的整個過程。
狀態的重要性
如果打算創建與用戶進行交互的基於Web站點的應用程序，而不是僅顯示獨立頁面的Web網站，必須能夠為每個用戶提供獨立的狀態。這可能只是記住他們的名字，也可能要為每個用戶存儲對象引用或不同的記錄集。如果不能這樣做，ASP網頁就不能做更多的事情，因為該頁面執行完成時，頁面中的變量和其他相關資料都破壞了。錄用戶請求下一個頁面時，這個頁面提供的所有信息將全部失去。
因此，需要找到一種方法，保存每個訪問者的狀態。能夠存儲對所有用戶而言的全局值是非常重要。例如，一個Web風格的訪問或頁麵點擊計數器，它不為每個用戶提供自己的計數器，用戶們通常想要看到訪問者的總數，而不僅僅是他們自己訪問的次數。訪問者的數目需要與應用程序級狀態一起存儲，而不是與用戶級狀態一起存儲。
這不是一個剛出現的問題，自從商用站點佔據了Web，就已經存在，甚至更早些。所以已有許多在Web上存儲狀態的傳統的解決方案。 Web站點管理員想要了解訪問者以前是否曾訪問過他們的網站，如果訪問過，訪問過多少次？還定期訪問其他什麼網站等。這樣可以更好地制定其廣告目標。所有這些都要求一種方法來存儲有關用戶在訪問時所產生的網頁請求或每次訪問間的信息。
在Web上創建狀態
在頁面請求和站點訪問之間提供狀態常用的方法是通過cookie。我們在前面的章節中已經看到，如何在客戶端的計算機中存放相應的值，這些值與每個頁面請求一起發送給對此cookie有效的域。通過用ASP檢查和更新cookie，在某種程度上能夠保持一個狀態。可以使用所包含的信息來識別用戶，然後把用戶連接到一個已存儲相應值的集合。
例如，可以檢測一個用戶請求是否包含一個站點指定的cookie。如果不包含，則為該用戶分配一個某種類型的標識，指明一個數量，並存儲在帶有一個長有效期的cookie中。以後該用戶對這個站點的每一次訪問，都能夠檢測到cookie並更新所包含的信息。同時可以收集有關訪問的次數和持續時間的數據，並存儲在服務器上，以備將來使用。
但是，如果用戶轉移到另一個計算機，或刪除了cookie，或者他們的瀏覽器拒絕接收發送給他們的cookie，會發生什麼事情呢？在這種情況下，不能維持狀態，因為下一次不能識別他們現在，Web上有許多cookie，大多數人會接受它們，而不加理會。如果打開瀏覽器中的Warn before accepting cookies選項，接著漫遊幾個大的站點，你就會明白其中的含意。
1． 匿名訪問者與授權的訪問者
如果認為cookie是一個有點草率的解決方案，可以使用更直接的方法。許多站點採用的一種方法是，在訪問者點擊一個站點時，或者點擊一個要求驗證身份的頁面時，彈出一個進行登錄的對話框。訪問者首先必須進行註冊，獲得一個某種類型的用戶名/口令的組合，才能允許訪問相應的站點或頁面。
為了證實訪問者是一個已知的並且合法的用戶，在訪問者的計算機上放置的一個cookie，它或者保存註冊的詳細數據，或者是一把表明已驗證過身份的鑰匙（key）。同時，訪問者的詳細數據永久地保存在服務器上，準備再次訪問時使用。如果訪問者的瀏覽器中有了這樣一個cookie，他就可以自由地訪問該網站，因為已經驗證過了。
如果cookie沒有有效期限（Expires），cookie的值在關閉瀏覽器時自動消失，在下一次訪問時必須重新註冊和再次驗證。當然，如果拒絕接收cookie或刪除了cookie，就只能再次得到註冊對話框。這樣的話，如果不被識別，就不能訪問該站點。
通過強制用戶就像註冊到自己的網絡一樣註冊到Web服務器，Windows 2000整體安全性能為IIS提供更強和更安全的驗證功能。但是，這只能與Internet Explorer 3.0和之上版本的瀏覽器一起工作。 IIS也可以使用BASIC驗證允許非Microsoft瀏覽器註冊Web服務器。
2． 不再有匿名訪問者
在IIS Web服務器上使用ASP時，除非用戶離開該站點到另一個網站或者關閉了瀏覽器，否則能在當前會話中跟踪用戶。在本章的後面，將看到如何使用這個功能來標識一個訪問者、存儲用戶的本地信息和提供狀態。下面與已經討論過的解決方案相比較，討論其工作方式。
ASP和IIS共同提出了一個用戶會話的概念，通過ASP Session對象進行交互。在每個訪問者第一次訪問服務器上的一個ASP網頁時，為他創建一個新的並且獨立的會話對象，分配給該會話一個會話標識號，並把包含會話標識符的特殊加密版本的一個cookie發送給客戶。
cookie的路徑（參看前面的章節有關cookie屬性的描述）設置為運行在服務器上的ASP應用程序的根路徑。這很可能上缺省的Web網站的根目錄（即/），但也可能會是另外一個值（稍後會看到）。在cookie中沒有提供Expires值，所以當瀏覽器關閉時，cookie值也就消失。
每當這個用戶訪問這個ASP網頁，ASP都會查找這個cookie。命名為ASPSESSIONIDxxxxxxxx，其中每個x是一個字母字符。從第2章圖2-7所示的ServerVariables集合，能夠在HTTP報頭中看到它。
但是，這個cookie不會出現在Request.Cookies或Response.Cookies集合中，ASP把它隱藏起來，但仍保存在瀏覽器上。對於每個ASP網頁請求，ASP都要查看該值。這個cookie包含的值，指明了這個用戶的會話。因此，相應的Session對象（該對像在內存中已被處理，並且一直包含所有在前一頁面請求過程中進行操作的值）的內容可以移交給ASP網頁中的腳本。
當然，如前所述，如果客戶瀏覽器不接收或不支持這些cookie，這個處理將失敗。在這種情況下，不能創建ASP會話，對這個訪問者的狀態也不進行自動維護。