JWT和Session和Cookie

会话管理

由于HTTP请求是无状态的，也就是说，每一个请求是相互独立的，互不干涉，但是在实际应用场景中，这个显然是不符合要求的。所以使用HTTP+状态管理进行一个面向用户Web开发。
这几个技术都是对HTTP协议的一个补充。

cookie

使用cookie进行会话管理的时候，我们会将用户信息或其他我们需要放在每个请求的一小段信息放入到cookie中进行保存，cookie是放在请求头中的，然后每次请求的时候会将cookie中的信息放入请求头中，在服务端进行验证，以此来进行状态的保证。

Session

使用session进行会话管理的时候，只需要在客户端保存一个sessionid即可，而用户信息是存放在服务端中的，当用户登陆时，会将用户信息存放在服务端，然后对应生成一个sessionid保存在客户端中

一般可将sessionid存放在cookie中。

session和cookie的优缺点

• cookie的安全性不好，攻击者可以获得本地cookies进行欺骗或者使用cookies进行进行CSRF攻击。
• cookies不支持跨域（原因：因为当一个浏览器存在多个域名的cookie时，比如baidu.com和google.com两个cookies时，因为域名不同（一棒子打死的感觉，只要域名不同就不会携带），所以访问baidu时是不会携带google的cookies的，这样的话，当访问www.google.com和image.google.com时）虽然同属于google，但是因为域名不同，所以也是不能访问的，这显然是不符合我们预计的效果的，所以一般需要对跨域进行一个处理（domain）。
• session因为是将会话信息保存在服务端，所以当存在大量用户的时候，对服务器的压力也是一方面的考验。
• 同时当存在多个机器的时候，session的会话共享也是一个问题。比如用户登陆通过服务器A，然后发送请求时，用的是服务器B，那么如何知道这个用户。（Redis）