在同一个浏览器的窗口，访问同一个系统，产生的session的id是一样的；（在两个浏览器中产生的session的id是不一致的） (一开始是管理员登陆，退出，然后在当前的窗口换个帐号登陆，他们的sessionid是一样的，所以只是根据sessionid来判断登陆用户的信息是错误的。即：同一个sessionid可能是两个不同的用户！ )

=============================================================

session混乱举例：在浏览器窗口中先使用管理员admin登陆，在查看某条信息的时候，点击右键“在新窗口中打开”，这个时候session是没有发生变化的，如果在新的窗口中再使用其他人的帐号wmj再登陆，这个时候session信息就发生混乱了。 admin和wmj是同一个session了，因为他们的id相同，这样他们保存在session中的信息就混乱。 wmj后登陆的，会将前面admin中session的信息给覆盖掉。 因为对session来说是只认id不认人。

===============================================================

统计用户在线时间的极其困难，只能是个大概的时间：

用户访问系统的任何页面，系统调用request.getSession(true)这个时候session就创建了，开始计时了。注意：并不是从用户登陆之后才开始计时；例如：session设置为30分钟；用户访问了登陆页面，因为种种原因5分钟之后才登陆系统；如果用户登陆后未进行任何操作，那么25分钟之后session将失效！（不是从登陆后30分钟之后才失效！） 所以如果要统计某个用户的在线时间是非常困难的。只能够是个大概的时间数；严格意义上讲，是做不到准确统计的。