2024年最新软件测试必会：cookie、session和token的区别(1)，细数软件测试开发者的艰辛历程

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上软件测试知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化的资料的朋友，可以戳这里获取

03、什么是session

在上一节中，我们通过 Cookie 来实现了用户权限的确认，在其中我们提到了一个词：session。顾名思义它就是会话的意思，session 主要由服务端创建，主要作用就是保存 sessionId，用户与服务端之间的权限确认主要就是通过这个 sessionId。

简单描述下 session：

session 由服务端创建，当一个请求发送到服务端时，服务器会检索该请求里面有没有包含 sessionId 标识，如果包含了sessionId，则代表服务端已经和客户端创建过 session，然后就通过这个sessionId 去查找真正的session，如果没找到，则为客户端创建一个新的 session，并生成一个新的 sessionId 与 session对应，然后在响应的时候将 sessionId 给客户端，通常是存储在cookie 中。如果在请求中找到了真正的session，验证通过，正常处理该请求

总之每一个客户端与服务端连接，服务端都会为该客户端创建一个 session，并将 session 的唯一标识 sessionId 通过设置 Set-Cookie 头的方式响应给客户端，客户端将 sessionId 存到 cookie 中

通常情况下，我们 cookie 和 session 都是结合着来用，我们可以在修改一下整个请求过程图，如下所示：

04、cookie和session区别

前面两节我们介绍了 cookie 和 session，它们两者之间主要是通过 sessionId 关联起来的，所以我们总结出：sessionId 是 cookie 和 session 之间的桥梁。我们日常的系统中如果在鉴权方面如果使用的是 cookie 方式，那么大部分的原理就和我们前面说的一样。

或者我们可以换个说法，session 是基于 cookie 实现的，它们两个主要有以下特点：

session 比 cookie 更加安全，因为它是存在服务端的，cookie 是存在客户端的

cookie 只支持存储字符串数据，session 可以存储任意数据

cookie 的有效期可以设置较长时间，session 有效期都比较短

session 存储空间很大，cookie 有限制

系统想要实现鉴权，可以单独使用 cookie，也可以单独使用 session，但是建议结合两者使用

05、token 是什么

前面我们说的 sessionId 可以叫做令牌，令牌顾名思义就是确认身份的意思，服务端可以通过令牌来确认身份。cookie+session 是实现认证的一种非常好的方式，但是凡事都有两面性

它们实现的认证主要有以下缺点：

增加请求体积，浪费性能，因为每次请求都会携带 cookie。

增加服务端资源消耗，因为每个客户端连接进来都需要生成 session，* * 会占用服务端资源的。

容易遭受 CSRF 攻击，即跨站域请求伪造。

那么为了避免这些缺点，token 方式的鉴权出现了，它可以说是一个民间的认证方式，但是不得不说它带来了非常多的好处。

1、token 的组成：

token 其实就是一串字符串而已，只不过它是被加密后的字符串，它通常使用uid(用户唯一标识)、时间戳、签名以及一些其它参数加密而成。我们将 token 进行解密就可以拿到诸如 uid 这类的信息，然后通过uid 来进行接下来的鉴权操作。

2、token 是如何生成的：

前面我们说 cookie 是服务端设置了 set-cookie 响应头之后，浏览器会自动保存 cookie，然后下一次发送请求的时候会自动把cookie 携带上。但是我们说 cookie 算是一种民间的实现方式，所以说

浏览器自然不会对它进行什么处理。token主要是由服务器生成，然后返回给客户端，客户端手动把 token 存下来，比如利用localstorage 或者直接存到 cookie当中也行。

3、token 认证流程：

客户端发起登录请求，比如用户输入用户名和密码后登录

服务端校验用户名和密码后，将用户 id 和一些其它信息进行加密，生成 token

服务端将 token 响应给客户端

客户端收到响应后将 token 存储下来

下一次发送请求后需要将 token 携带上，比如放在请求头中或者其它地方。

服务端 token 后校验，校验通过则正常返回数据

用图表示大致如下：

**06、**总结

虽然前面解释 cookie、session、token 用了不少口舌，但是归根结底啊，它们的目的都是一样的：鉴权和认证

总结下来就是：session 是空间换时间，token 是时间换空间。

最后感谢每一个认真阅读我文章的人，礼尚往来总是要有的，虽然不是什么很值钱的东西，如果你用得到的话可以直接拿走：

这些资料，对于【软件测试】的朋友来说应该是最全面最完整的备战仓库，这个仓库也陪伴上万个测试工程师们走过最艰难的路程，希望也能帮助到你！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

以戳这里获取](https://bbs.csdn.net/topics/618608311)**

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！