session的创建：
最近在做统计服务器在线人数时，通过统计当前服务器session数量来实现，实现一个HttpSessionListener，客户端第一次访问后台jsp或者servlet的时候都会调用sessionCreated()方法，也就是说tomcat自动创建session，（有时候我们需要在用户登录之后再去创建session，不需要tomcat来创建session，能力有限我目前没有找到可以手动控制何时创建session的方法）。此时创建的session可以通过request.getSession()获取到。
每一个访问jsp，或者servlet的请求都会创建一个session，也就是说访问img、html等静态资源不会创建session。
session的失效：
调用session.invalidate()方法可以使当前session失效，此方法会调用一次HttpSessionListner中的sessionDestory()方法，但此时session并没有从内存中清除，服务器会在某个时刻一次性将失效的session清除出内存（同上，如何手动将session清除出内存，忘大家不吝告知）。
原文：http://www.cnblogs.com/lqfu/p/4663105.html