session和cookie详解

一、Cookie

定义：

访问网站后在本地存储的相关网站信息，是服务器在本地机器上存储的文本，并随着每一个请求发送到同一服务器上，以便某些网站为了辨别用户身份，由用户客户端计算机暂时或永久保存的信息，是客户端保存状态的一种方式。

为什么要使用Cookie？解决了什么问题 ？

• web程序是使用HTTP协议传输的，而HTTP协议是无状态的协议，对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。cookie的出现就是为了解决这个问题。
• 第一次登录后服务器返回一些数据（cookie）给浏览器，然后浏览器保存在本地，当该用户发送第二次请求的时候，就会自动的把上次请求存储的cookie数据自动的携带给服务器，服务器通过浏览器携带的数据就能判断当前用户是哪个了。就相当于给客户端们颁发一个通行证，每人一个，无论谁访问都必须携带自己通行证。这样服务器就能从通行证上确认客户身份了。这就是Cookie的工作原理。

cookie的主要内容

名字，值，过期时间，路径和域，路径与域一起构成cookie的作用范围。

生命周期：

表示当前cookie的生命周期为浏览器会话期间，关闭浏览器则cookie消失。

Cookie什么时候产生 ？

• Cookie的使用一先要看需求。因为浏览器可以禁用Cookie，同时服务端也可以不Set-Cookie。
• 客户端向服务器端发送一个请求的时，服务端向客户端发送一个Cookie然后浏览器将Cookie保存。
• Cookie有两种保存方式，一种是浏览器会将Cookie保存在内存中，还有一种是保存在客户端的硬盘中，之后每次HTTP请求浏览器都会将Cookie发送给服务器端。

应用场景：

 

工作原理图：

 

二、Session

什么叫web中的会话？

用户开一个浏览器，点击多个超链接，访问服务器多个web资源，然后关闭浏览器，整个过程称之为一个会话。

Session的定义

在计算机中，尤其是在网络应用中，称为“会话控制”。Session 对象存储特定用户会话所需的属性及配置信息，一般存在服务器用来存放用户数据的类HashTable结构。

Session什么时候产生 ？

• 当用户请求来自应用程序的 Web 页时，如果该用户还没有会话，则 Web 服务器将自动创建一个 Session 对象。这样，当用户在应用程序的 Web 页之间跳转时，存储在 Session 对象中的变量将不会丢失，而是在整个用户会话中一直存在下去。

 

• 服务器会向客户浏览器发送一个每个用户特有的会话编号sessionID，让他进入到cookie里。

 

• 服务器同时也把sessionID和对应的用户信息、用户操作记录在服务器上，这些记录就是session。再次访问时会带入会发送cookie给服务器，其中就包含sessionID。

 

• 服务器从cookie里找到sessionID，再根据sessionID找到以前记录的用户信息就可以知道他之前操控些、访问过哪里。

Session的生命周期 ？

一般情况下，服务器会在一定时间内（默认30分钟）保存这个 Session，过了时间限制，就会销毁这个Session。

举个例子，你登录一个服务器，服务器返回给你一个sessionID，登录成功之后的半小时之内没有对该服务器进行任何HTTP请求，半小时后你进行一次HTTP请求，会提示你重新登录。

工作原理图：

若禁用了cookie那么session能不能使用？

能使用。 经常被使用的一种技术叫做URL重写，就是把session id直接附加在URL路径的后面。还有一种技术叫做表单隐藏字段。就是服务器会自动修改表单，添加一个隐藏字段，以便在表单提交时能够把session id传递回服务器。

 三、session和cookie的异同

相同点：两者都是一种记录用户状态的机制，都是为了减少客户端和服务器端之间的传输的冗余数据，提高两者之间的数据传输速率。

不同点：

1. Cookie可以存储在浏览器或者本地，Session只能存在服务器
2. session 能够存储任意的 java 对象，cookie 只能存储 String 类型的对象
3. Session比Cookie更具有安全性（Cookie有安全隐患，通过拦截或本地文件找得到你的cookie后可以进行攻击）
4. Session占用服务器性能，Session过多，增加服务器压力
5. 单个Cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个Cookie，Session是没有大小限制，只和服务器的内存大小有关。

四、session和cookie的结合使用

web开发发展至今，cookie和session的使用已经出现了一些非常成熟的方案。在如今的市场或者企业里，一般有两种存储方式：

• 储存在服务端：通过cookie存储一个session_id，然后具体的数据则是保存在session中。如果用户已经登录，则服务器会在cookie中保存一个session_id，下次再次请求的时候，会把该session_id携带上来，服务器根据session_id在session库中获取用户的session数据。就能知道该用户到底是谁，以及之前保存的一些状态信息。这种专业术语叫做server side session。
• 将session数据加密，然后储存在cookie中：这种专业术语叫做client side session。flask采用的就是这种方式，但是也可以替换成其他形式。