cookie与toekn都是用来保存用户会话状态,实现不同页面免登陆的。cookie是比较早出现的技术,而token是为了防止CSRF攻击产生的。
相同点:
由服务器产生,返回给客户端
记录用户信息可靠性,保持会话状态
不同点:
cookie每次请求都会自动携带;token需要手动携带
cookie保存用户信息加密后的状态;toekn携带服务器生成的令牌。
toekn可以实现分布式服务器的验证;
关键是toekn不放在cookie中,而是放在攻击者无法获取到的参数中。如表单数据中,如a、from表单后面,或者input hidden,会进行加密。
客户端发送过去时也会进行加密,服务器解密后进行验证。