2021-04-25

Cookie、Session和Token都是用来做持久化处理的，目的就是让客户端和服务端互相认识。HTTP请求默认是不持久的，没有状态的，谁也不认识谁的。

 

 

1、Cookie

 

 

Cookie是一个非常具体的东西，指的就是浏览器里面能永久存储的一种数据，仅仅是浏览器实现的一种数据存储功能。

Cookie由服务器生成，通过响应头Set-Cookie字段发送给浏览器，浏览器把Cookie以key value形式保存到某个目录下的文本文件里，下一次请求同一网站时会把该Cookie发送给服务器。由于Cookie是存在客户端上的，所以浏览器加入了一些限制确保Cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的Cookie数量是有限的。

 

 

2、Session

 

 

Session从字面上讲，就是会话。服务器要知道当前发请求给自己的是谁。为了做这种区分，服务器就要给每个客户端分配不同的“身份标识”，然后客户端每次向服务器发请求的时候，都带上这个“身份标识”，服务器就知道这个请求来自于谁了。至于客户端怎么保存这个“身份标识”，可以有很多种方式，对于浏览器客户端，默认采用Cookie的方式。

服务器使用Session把用户的信息临时保存在了服务器上，用户离开网站后Session会被销毁。这种用户信息存储方式相对Cookie来说更安全，可是Session有一个缺陷：如果web服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候Session会丢失。

 

 

3、Token

 

 

Token意思是“令牌”，用户身份的验证方式，有点类似于Cookie，相对来说更安全。

比如你授权（登录）一个程序时，他就是个依据，判断你是否已经授权该软件；Cookie就是写在客户端的一个txt文件，里面包括你登录信息之类的，这样你下次在登录某个网站，就会自动调用Cookie自动登录用户名；Session和Cookie差不多，只是Session是写在服务器端的文件，也需要在客户端写入Cookie文件，但是文件里是你的浏览器编号。Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。

最简单的Token组成：uid（用户唯一的身份标识）、time（当前时间的时间戳）、sign（签名，由Token的前几位+盐以哈希算法压缩成一定长的十六进制字符串，可以防止恶意第三方拼接Token请求服务器）。还可以把不变的参数也放进Token，避免多次查库。

 

Token特点：

• 1、无状态、可扩展；

• 2、支持移动设备；

• 3、跨程序调用；

• 4、安全。

 

一般流程：

• 1、客户端向服务端申请Token；

• 2、服务端收到请求，会去验证用户信息，签发一个Token给客户端，服务端自己也会保存 Token；

• 3、客户端收到服务端签发的Token会保存起来，每次请求带上Token；

• 4、服务器收到其他请求，会去验证客户端的Token，如果成功则返回数据，不成功做其他处理。