谈谈对Cookie Session Token的认识

最新推荐文章于 2023-12-06 22:45:57 发布

WHU_JiangLong

最新推荐文章于 2023-12-06 22:45:57 发布

阅读量233

点赞数

分类专栏： web前端文章标签： cookie session node.js java

本文链接：https://blog.csdn.net/Jiang216/article/details/108528231

版权

web前端专栏收录该内容

34 篇文章 4 订阅

订阅专栏

一、序言

对从事Web开发的或者有过Web开发经验的朋友来说，身份验证一定是一个避不开的话题。即使是再小的系统，也少不了登录这道程序。不管是前端还是后端，总要和会话打交道，那么，就从会话开始，聊聊常用的验证方式：Cookie、Session、Token。

在计算机术语中，会话是指一个终端用户与交互系统进行通讯的过程，TCP的三次握手就创建了一个会话，TCP关闭连接就是关闭会话。理论上，一个用户的所有请求操作都应该属于同一个会话。但是，Web应用程序是使用HTTP协议传输数据的。HTTP协议是无状态的协议。一旦数据交换完毕，客户端与服务器端的连接就会关闭，再次交换数据需要建立新的连接。这就意味着服务器无法从连接上跟踪会话。所以要跟踪用户会话，就需要引入会话跟踪机制。

二、Cookie

Cookie是一段用户文本信息，它存放在用户请求头信息中：

客户端第一次访问服务器的时候，服务器如果验证通过，就可以使用response向客户端返回一个Cookie，客户端将Cookie保存，下次向服务器进行请求时，请求头中就会携带服务器颁发的Cookie信息。可以理解为：由于http的无状态特性，服务器端需要借助一种认证方式来识别客户端身份，通过Cookie相当于给客户端颁发一个通行证，当客户端携带通行证进行访问时，服务器就可以通过通行证中的信息来识别客户端身份。

Cookie存放在客户端，具有不可跨域名性。前端与后端都可以进行Cookie的设置与修改，当设置Cookie时未设置对应的过期时间或过期时间设置为非正数，则该Cookie会被认为是临时性Cookie，不会被写入Cookie文件中，在用户关闭浏览器后，Cookie即自动消失；相反，如果显式设置Cookie过期时间，则Cookie会被写入Cookie文件，如果用户关闭了浏览器，但只要Cookie仍在过期时间之内，则Cookie依然生效。如果设置过期时间如下，则该Cookie永远生效：

cookie.setMaxAge(Integer.MAX_VALUE);           // 设置生命周期为MAX_VALUE

Cookie不存在显式的修改及删除操作，如果要修改某个Cookie，只需要新建一个同名的Cookie，添加到response中覆盖原来的Cookie。如果要删除某个Cookie，只需要新建一个同名的Cookie，并将maxAge设置为0，并添加到response中覆盖原来的Cookie。注意是0而不是负数。（修改、删除Cookie时，新建的Cookie除value、maxAge之外的所有属性，例如name、path、domain等，都要与原Cookie完全一样。否则，浏览器将视为两个不同的Cookie不予覆盖，导致修改、删除失败。）

由于其可以被客户端获取及修改，因此，为保障网络安全，一般建议对Cookie进行加密。

三、Session

Session是服务器端使用的一种记录客户端状态的机制，使用上比Cookie简单一些，相应的也增加了服务器的存储压力。

Session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而Session保存在服务器上。客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。

如果说Cookie机制是通过检查客户身上的“通行证”来确定客户身份的话，那么Session机制就是通过检查服务器上的“客户明细表”来确认客户身份。Session相当于程序在服务器上建立的一份客户档案，客户来访的时候只需要查询客户档案表就可以了。

Session对象是在客户端第一次请求服务器的时候创建的。Session也是一种key-value的属性对，为了获得更高的存取速度，服务器一般把Session放在内存里。每个用户都会有一个独立的Session。如果Session内容过于复杂，当大量客户访问服务器时可能会导致内存溢出。因此，Session里的信息应该尽量精简。

Session生成后，只要用户继续访问，服务器就会更新Session的最后访问时间，并维护该Session。为防止内存溢出，服务器会把长时间内没有活跃的Session从内存删除。这个时间就是Session的超时时间。如果超过了超时时间没访问过服务器，Session就自动失效了。

虽然Session保存在服务器端，但Session的正常运行仍然需要客户端浏览器的支持。这是因为Session需要使用Cookie作为识别标志。HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一客户，因此服务器向客户端浏览器发送一个名为JSESSIONID的Cookie，它的值为该Session的id（也就是HttpSession.getId()的返回值）。Session依据该Cookie来识别是否为同一用户。