cookie、session、token学习笔记

一.cookie

1.什么是cookie？

Cookie用于存储web页面的用户信息。

Cookie是一些数据，存储于你电脑的文本文件中。

当web服务器向浏览器发送web页面时，在连接关闭后，服务端不会记录用户的信息。

而Cookie的作用就是用于解决“如何记录客户端的用户信息”：

当用户访问web页面时，他的名字可以记录在cookie中。
在用户下一次访问该页面时，可以在cookie中读取用户访问记录。
当浏览器从服务器上请求web页面时，属于该页面的cookie会被添加到该请求中。服务端通过这种方式来获取用户的信息。

2.cookie属性

属性名称	属性含义
name	cookie 的名称
value	cookie 的值
comment	cookie 的描述信息
domain	可以访问该 cookie 的域名
expires	cookie 的过期时间，具体某一时间
maxAge	cookie 的过期时间，比如多少秒后 cookie 过期
path	cookie 的使用路径
secure	cookie 是否使用安全协议传输，比如 SSL 等
version	cookie 使用的版本号
isHttpOnly	指定该 Cookie 无法通过 JavaScript 脚本拿到，比如 Document.cookie 属性、XMLHttpRequest 对象和 Request API 都拿不到该属性。这样就防止了该 Cookie 被脚本读到，只有浏览器发出 HTTP 请求时，才会带上该 Cookie。

3.cookie举例

上图可分为以下几步：

1.客户端发送请求到服务端（比如登录请求）。
2.服务端收到请求后生成一个 session 会话。
3.服务端响应客户端，并在响应头中设置 Set-Cookie。Set-Cookie 里面包含了 sessionId，它的格式如下：Set-Cookie: value[; expires=date][; domain=domain][; path=path][; secure]。其中 sessionId 就是用来标识客户端的，类似于去饭店里面，服务员给你一个号牌，后续上菜通过这个号牌来判断上菜到哪里。
4.客户端收到该请求后，如果服务器给了 Set-Cookie，那么下次浏览器就会在请求头中自动携带 cookie。
5.客户端发送其它请求，自动携带了 cookie，cookie 中携带有用户信息等。
6.服务端接收到请求，验证 cookie 信息，比如通过 sessionId 来判断是否存在会话，存在则正常响应。

二.session

1.什么是session

session 由服务端创建，当一个请求发送到服务端时，服务器会检索该请求里面有没有包含 sessionId 标识，如果包含了 sessionId，则代表服务端已经和客户端创建过 session，然后就通过这个 sessionId 去查找真正的 session，如果没找到，则为客户端创建一个新的 session，并生成一个新的 sessionId 与 session 对应，然后在响应的时候将 sessionId 给客户端，通常是存储在 cookie 中。如果在请求中找到了真正的 session，验证通过，正常处理该请求。

总之每一个客户端与服务端连接，服务端都会为该客户端创建一个 session，并将 session 的唯一标识 sessionId 通过设置 Set-Cookie 头的方式响应给客户端，客户端将 sessionId 存到 cookie 中。

通常情况下，我们 cookie 和 session 都是结合着来用，当然你也可以单独只使用 cookie 或者单独只使用 session

下面为session简单示意图：

2.常用API（应用程序接口）

名称	作用
getId()	得到sessionId
invalidate()	让session立刻失效
getAttribute(String key)	根据key获取该session中的value
setAttribute(String key,Object value)	往session中存放key-value
removeAttribute(Stringkey)	根据key删除session中的key-value
getServletContext()	得到ServletContext
setMaxInactiveInterval(long timeout)/getMaxInactiveInterval	设置/获取session的最大有效时间
getCreationTime	获取session的创建的时间
getLastAccessedTime	获取session最后一次访问的时间
getSession()	从HttpServletRequest中获取session

3.session与cookie的区别

1).保存的位置不同
cookie保存在浏览器端，session保存在服务端。
2).使用方式不同
cookie如果在浏览器端对cookie进行设置对应的时间，则cookie保存在本地硬盘中，此时如果没有过期，则就可以使用，如果过期则就删除。如果没有对cookie设置时间，则默认关闭浏览器，则cookie就会删除。
session：我们在请求中，如果发送的请求中存在sessionId，则就会找到对应的session对象，如果不存在sessionId,则在服务器端就会创建一个session对象，并且将sessionId返回给浏览器，可以将其放到cookie中，进行传输，如果浏览器不支持cookie，则应该将其通过encodeURL(sessionID)进行调用，然后放到url中。
3).存储内容不同：cookie只能存储字符串，而session存储结构类似于hashtable的结构，可以存放任何类型。
4).存储大小：``cookie最多可以存放4k大小的内容，session则没有限制。
5).session的安全性要高于cooKie
6).cookie的session的应用场景：cookie可以用来保存用户的登陆信息，如果删除cookie则下一次用户仍需要重新登录
session就类似于我们拿到钥匙去开锁，拿到的就是我们个人的信息，一般我们可以在session中存放个人的信息或者购物车的信息。
7).session和cookie的弊端：cookie的大小受限制，cookie不安全，如果用户禁用cookie则无法使用cookie。如果过多的依赖session，当很多用户同时登陆的时候，此时服务器压力过大。sessionId存放在cookie中，此时如果对于一些浏览器不支持cookie，此时还需要改写代码，将sessionID放到url中，也是不安全。

三.token

1.什么是token?

token是“令牌”的意思。它不像cookie和session一样是一种web规范，而是服务端生成的一串字符串，以作客户端进行请求的一个标识。当第一次登录后，服务器生成一个token便将此token返回给客户端，以后客户端只需带上这个token前来请求数据即可，无需再次带上用户名和密码。

2.token有什么用？

token其实说的更通俗点可以叫暗号，在一些数据传输之前，要先进行暗号的核对，不同的暗号被授权不同的数据操作。说白了token是一个身份卡，有权限的作用。

使用token机制的身份验证方法，在服务器端不需要存储用户的登录记录。

大概的流程：

1).客户端使用用户名和密码请求登录。

2).服务端收到请求，验证用户名和密码。

3).验证成功后，服务端会生成一个token，然后把这个token发送给客户端。

4).客户端收到token后把它存储起来，可以放在cookie或者Local Storage（本地存储）里。

5).客户端每次向服务端发送请求的时候都需要带上服务端发给的token。

6).服务端收到请求，然后去验证客户端请求里面带着token，如果验证成功，就向客户端返回请求的数据。

token还有防止爆破的作用，比如我之前打过的pikachu（皮卡丘）靶场的第一大关，详见我之前写过的pikachu靶场通关系列博客。