1.如果我们浏览器设置的安全级别较高，服务器与浏览器之间的cookie不能传输，则sessionID也就不能送到服务器或浏览器。
2.URL重写就是如果上述情况出现，则采用了备用方案，利用参数的形式将sessionID带回服务器：
response.encodeURL("...")：调用该方法当sessionID的cookie不存在或不能发送时，路径后面追加参数；如果cookie存在且可以发送服务器，就不需要后面跟参数了
3.request.getSession()这个方法首先会先判断cookie的sessionID，如果没有再去找参数为sessionID的参数；
原文：https://www.cnblogs.com/ibcdwx/p/12316484.html