Cookie和Session的知识

客户端第一次访问服务器的时候服务器通过响应头向客户端发送Cookie,属性之间用分号空格分隔。

客户端接收到Cookie之后保存在本地，以后客户端再请求服务器的时候会把此Cookie发送到服务器端。

cookie重要属性说明

name=value 键值对，可以设置要保存的 Key/Value

Domain 域名，默认是当前域名

maxAge 最大失效时间(毫秒),设置在多少后失效

secure 当 secure 值为 true 时，cookie 在 HTTP 中是无效，在 HTTPS 中才有效

Path 表示 cookie 影响到的路，如 path=/。如果路径不能匹配时，浏览器则不发送这个Cookie

Expires 过期时间(秒)，在设置的某个时间点后该 Cookie 就会失效，如 expires=Money, 05-Dec-11 11:11:11 GMT

httpOnly 如果在COOKIE中设置了httpOnly属性，则通过程序(JS脚本)将无法读取到COOKIE信息，防止XSS攻击产生

cookie使用注意事项 可能被客户端篡改，使用前验证合法性 不要存储敏感数据，比如用户密码，账户余额 使用httpOnly保证安全 尽量减少cookie的体积 设置正确的domain和path，减少数据传输

1、 什么是session

session是另一种记录客户状态的机制，不同的是Cookie保存在客户端浏览器中，而session保存在服务器上

客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，这就是session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了

2、 cookie与session区别

cookie数据存放在客户的浏览器上，session数据放在服务器上。

cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗 考虑到安全应当使用session

session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能 考虑到减轻服务器性能方面,应当使用COOKIE

单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie

将登陆信息等重要信息存放为session、其他信息如果需要保留，可以放在cookie中

3、 session实现

在服务器端生成全局唯一标识符session_id

在服务器内存里开辟此session_id对应的数据存储空间

将session_id作为全局唯一标示符通过cookie发送给客户端

以后客户端再次访问服务器时会把session_id通过请求头中的cookie发送给服务器

服务器再通过session_id把此标识符在服务器端的数据取出