cookie和session

Cookie

Cookie是网页浏览器用来保存用户信息的文件，可以保存比如用户是谁，购物车有哪些商品等。

HTTP协议是无状态的协议，就是说网页一关闭，浏览器和服务端的连接就会断开，下次打开网页又要重新连接，服务器无法从你一打开的连接上恢复上一次的会话，服务器不知道是你又回来了。

流程：

• 访问浏览器的时候，浏览器会发送一个HTTP请求到服务器端；

• 服务器会发送一个HTTP响应到客户端，其中包括Set-Cookie，意思就是浏览器建立一个cookie保存服务器指定的内容，比如用户信息和用户操作信息；

• 浏览器保存好信息之后，下次我们再次访问网站的时候，浏览器再发送HTTP请求到服务器端时都会携带之前保存的cookie；

• 服务器端会从收到的cookie中识别用户身份，就能让页面为你提供专门属于你的内容了。

是否设置过期时间： 如果不设置过期时间，则表示这个 Cookie生命周期为浏览器会话期间，只要关闭浏览器，cookie就消失了。
如果设置了的有效时间，那么它会将 cookie保存在客户端的硬盘上，下次再访问该网站的时候，浏览器先检查有没有 cookie，如果有的话，就读取该 cookie，然后发送给服务器。

存储： 一般保存在内存，不在硬盘；

• 如果设置了过期时间，浏览器会把cookie保存在硬盘上，关闭再打开浏览器，这些cookie依然有效直到超过的设置过期时间；
• 不同的浏览器的cookies在硬盘的存储位置是不同的。
  多个不同浏览器是无法做到共享cookie的，因为每个浏览器存cookie路径不是一样的，所以无法做到不同浏览器共享cookie。

缺点：

• cookie存储的数量和字符数量都有限制，只能存储几十个，不超4096左右个字符。
• cookie是可以伪造的。如果你能够截获某个用户的 cookie变量，然后伪造一个数据包发送过去，那么服务器还是认为你是合法的。所以，使用 cookie被攻击的可能性比较大。
• cookie存储在用户浏览器里也不安全，任何人都能直接查看。
  我们以谷歌浏览器为例查看cookie，我们右击找到检查，点击打开浏览器控制台，或者按F12；然后找到Console，在其中输入document.cookie即可查看。
  
  
  
  

Session

Session会话，会话是指我们访问网站的一个周期。比如用户打开一个浏览器访问某个位的站点。在这个站点点击多个超链接查看各个网页，然后关闭浏览器，整个过程称之为一个会话。

session在计算机网络应用中被称为“会话控制”，具体流程如下：

• 客户端浏览器访问网站的时候，服务器会向客户浏览器发送一个每个用户特有的会话编号sessionID，让他进入到cookie里。
• 服务器同时也把sessionID和对应的用户信息、用户操作记录在服务器上，这些记录就是session。
• 客户端浏览器再次访问时，会发送cookie给服务器，其中就包含sessionID。
• 服务器从cookie里找到sessionID，再根据sessionID找到以前记录的用户信息就可以知道他之前操控些、访问过哪里。

保存： 存储在Server段的内存进程中的，而这个进程相当不稳定，经常会重启，这样重启的话，就会造成Session失效，用户就必须要重新登录，用户体验相当差，比如用户在填写资料，快要结束的时候Session失效，直接跳到登录页面。

是否已经创建过session：

当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否已包含了一个session标识（称为session id），如果已包含则说明以前已经为此客户端创建过session，服务器就按照session id把这个session检索出来…使用（检索不到，会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id，session id的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串，这个session id将被在本次响应中返回给客户端保存。
(总结：创建一个session时，服务器看这个客户端是否包含session标识，是的话按照session id把session检索出来，否则就得新建一个)

Session的客户端实现形式（即Session ID的保存方法）：
一般浏览器提供了两种方式来保存，还有一种是程序员使用html隐藏域的方式自定义实现：

1. 使用Cookie来保存：服务器通过设置Cookie的方式将Session ID发送到浏览器。
   如果我们不设置这个过期时间，那么这个Cookie将不存放在硬盘上，当浏览器关闭的时候，Cookie就消失了，这个Session ID就丢失了。如果我们设置这个时间为若干天之后，那么这个Cookie会保存在客户端硬盘中，即使浏览器关闭，这个值仍然存在，下次访问相应网站时，同样会发送到服务器上。
2. 使用URL附加信息的方式，也就是像我们经常看到JSP网站会有aaa.jsp?JSESSIONID=*一样的。这种方式和第一种方式里面不设置Cookie过期时间是一样的。(URL重写，就是把session id直接附加在URL路径的后面。)
3. 第三种方式是在页面表单里面增加隐藏域，这种方式实际上和第二种方式一样，只不过前者通过GET方式发送数据，后者使用POST方式发送数据。但是明显后者比较麻烦。

session保存在服务器端比较安全，但是可能需要记录千百万用户的信息，对服务器的存储压力很大，所以我们应该有选择的合理使用cookie和session。

cookie 和session 的区别

1. cookie数据存放在客户的浏览器上，session数据放在服务器上。
   简单的说，当你登录一个网站的时候，如果web服务器端使用的是session，那么所有的数据都保存在服务器上面，客户端每次请求服务器的时候会发送当前会话的session_id，服务器根据当前session_id判断相应的用户数据标志，以确定用户是否登录，或具有某种权限。
   由于数据是存储在服务器上面，所以你不能伪造，但是如果你能够获取某个登录用户的session_id，用特殊的浏览器伪造该用户的请求也是能够成功的。
   session_id是服务 器和客户端链接时候随机分配的，一般来说是不会有重复，但如果有大量的并发请求，也不是没有重复的可能性。登录某个网站，开始显示的是自己的信息，等一段时间超时了，一刷新，居然显示了别人的信息。
   Session是由应用服务器维持的一个服务器端的存储空间，用户在连接服务器时，会由服务器生成一个唯一的SessionID,用该SessionID 为标识符来存取服务器端的Session存储空间。而SessionID这一数据则是保存到客户端，用Cookie保存的，用户提交页面时，会将这一 SessionID提交到服务器端，来存取Session数据。这一过程，是不用开发人员干预的。所以一旦客户端禁用Cookie，那么Session也会失效。

2. cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗考虑到安全应当使用session。

3. session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能考虑到减轻服务器性能方面，应当使用COOKIE。

4. 单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。(Session对象没有对存储的数据量的限制，其中可以保存更为复杂的数据类型)

注意：

• session很容易失效，用户体验很差；
• 虽然cookie不安全，但是可以加密 ；
• cookie也分为永久和暂时存在的；
• 浏览器有禁止cookie功能，但一般用户都不会设置；
• 一定要设置失效时间，要不然浏览器关闭就消失了。
• application是全局性信息，是所有用户共享的信息，如可以记录有多少用户现在登录过本网站，并把该信息展示个所有用户。

两者最大的区别在于生存周期，一个是IE启动到IE关闭。(浏览器页面一关，session就消失了)。一个是预先设置的生存周期，或永久的保存于本地的文件(cookie)。