深入理解 Cookie、Session 和 Token：使用场景与区别

ludy✘

于 2024-10-04 14:51:55 发布

阅读量700

点赞数 14

文章标签：服务器后端前端安全

本文链接：https://blog.csdn.net/2303_76265918/article/details/142702996

版权

在网络的世界里，用户身份验证和数据保持是一个永恒的话题。为了解决这些问题，诞生了 Cookie、Session 和 Token 等多种技术。今天，我们就来深入探讨这三种技术的区别和使用场景，帮助你在实际开发中做出更好的选择。

Cookie 是一种存储在用户本地的数据。它可以用来保存用户的偏好、会话信息等。

当你访问一个网站时，因为http是无状态协议，你下次来了服务器需要区分这个请求还是你来的化，服务器就会在你的设备上存储一个 Cookie，里面包含了一些识别信息。下次你再次访问该网站时，网站就可以通过读取这个 Cookie 来识别你。

想象一下，你正在浏览一个电子商务网站，你查看了多个商品，然后决定明天再回来购买。网站通过 Cookie 记住了你的浏览历史，第二天你回来时，它依然能向你推荐昨天你感兴趣的商品。

Session 是一种服务器端的存储方式，它可以用来跟踪用户的状态。

当用户访问网站时，服务器会创建一个 Session，并生成一个唯一的 Session ID，这个 ID 会通过 Cookie 发送给客户端。客户端在后续的请求中携带这个 ID，服务器通过 ID 找到对应的 Session，从而实现用户状态的跟踪。

性能开销：每次请求都需要在服务器端查找 Session，增加了服务器的负载。
跨服务器限制：在分布式系统中，多个服务器之间的 Session 同步是一个挑战，因为一个服务器存了你的sessionID而另一个没有存就会认定权限失败。
前后端分离架构：当前不至有电脑客户端，还有移动端口，苹果端，小程序，他们各自都有端口域名，这时候前端在请求后端就会发送跨域，跨域情况下默认不支持传递cookie，那么自己还得去后端跟前端设置这些增加额外麻烦。

但假设你把这些存到一个架设的redis当中，但这样又会提高中心化，会给分布式架构带来性能瓶颈，而且万一redis宕机了（中心化服务）发生故障会导致连带故障。

Token 是一种用于身份验证的令牌说白了就是一串加密后的字符串，它通常由服务器生成并返回给客户端，当前最流行的规范就是JWT。

当你登录一个系统时，服务器会生成一个 Token 并返回给你。客户端在后续的请求中携带这个 Token，服务器通过验证 Token 的合法性来确认用户的身份，而且会通过服务器私有的密钥进行加密更加安全。

想象一下，你正在使用一个移动应用，每次请求 API 时，应用都会在 HTTP 请求的头部附上 Token，存在Authorization字段里面。服务器接收到请求后，通过验证 Token 来确认请求的合法性。

存储位置：Cookie 存储在客户端，SessionID存储在客户端与服务器端，SessionID对应内容存在客户端，Token 可以存储在客户端或服务器端。
安全性：Token 通常最安全，Session 次之，Cookie 最不安全。
性能：Cookie 性能最好，Token 次之，Session 差点。