Session、Cookie与Token_cookies追踪周期-CSDN博客

本文链接：https://blog.csdn.net/outsiderg/article/details/123657121

本文介绍了Session、Cookie和Token的基本概念、作用和区别。Session主要用于服务端保持用户状态，Cookie则是在客户端存储信息以实现状态跟踪，而Token提供了一种无需服务器存储Session信息的身份验证方式。文章详细阐述了它们的起源、生存周期、安全性等方面，并讨论了在Web应用中的应用场景。

摘要由CSDN通过智能技术生成

前言

本文的大概内容：

在浏览网页的时候输入密码会弹出是否保存账号与密码，点击保存或者点击一段时限免登录，再次上网会保存你上次输入的密码与账号，方便了用户访问，有效避免了用户会忘记密码，但也有弊端就是，下一个人如果登录这个页面出现的用户名并不是他自己的，会泄露隐私。对于互联网行业面试的时候，计网方面的知识也总是离不开Sessio与Cookie，下面就让我们从基本知识与实践来说明二者的区别

一、Session是什么？

Session就是一次浏览器和服务器的交互的对话，就相当于人们打招呼的过程，这段对话完成后，这次会话也就结束了。

起源

在说session是什么之前，我们要清楚为什么会出现session会话，出现的机理又是什么？我们知道，用浏览器打开一个网页，用的是HTTP协议，在web 1.0时期，强调的是资源共享，http协议是一种无状态协议，2.0之后，强调交互，意味着有多一步的操作，请求与被请求之间是有依赖存在的，引入了session和cookie机制来实现状态的记录。

主要作用

HTTP是一种不保存的状态，即无状态协议（stateless）协议。也就是说HTTP协议自身不对请求和响应之间的通信状态进行保存。那么我们保存用户状态呢？Session机制的存在就是为了解决这个问题，Session的主要作用是通过服务端记录用户的状态。典型的场景是登录网站，当你要在网页端登录账号的时候，系统不知道哪个用户操作的，因为HTTP协议是无状态的。服务端给特定的用户创建特定的Session之后就可以标识这个用户并且跟踪这个用户了（一般情况下，服务器会在一定时间内保存这个Session，比如某网站可以勾选十天内免登陆，过了时间限制，就销毁这个Session了，就需要重新登录）。
在服务端保存Session的方法很多，最常用的就是内存和数据库。既然Session存放在服务器端，那么我们如何实现Seesion跟踪呢?

Session跟踪

通过在Cookie中附加一个Seesion ID来追踪Session，Session ID会以类似于cookie的方式返回给客户端，Session ID是服务器用来识别操作存储Session指的对象的服务器端，它就是用来识别这个文件或者识别
数据库的某一条记录，Session ID并不是session的值，有session ID不一定有session

二、Cookie是什么？

Cookie，有时也用复数形式Cookies

中文译名：小甜饼
起源：Cookie最早是网景公司的前雇员Lou Montulli在1993年3月的发明。 Cookie是由服务器端生成，发送给User-Agent（一般是浏览器），浏览器会将Cookie的key/value保存到某个目录下的文本文件内，下次请求同一网站时就发送该Cookie给服务器（前提是浏览器设置为启用cookie）。Cookie名称和值可以由服务器端开发自己定义，对于JSP而言也可以直接写入jsessionid，这样服务器可以知道该用户是否合法用户以及是否需要重新登录等。
客户端（浏览器）在发送请求的时候，会自动将存活可用的cookie封装在请求头中和请求一起发送。
形式：请求信息头：Cookie -

用途

服务器可以利用Cookies包含信息的任意性来筛选并经常性维护这些信息，以判断在HTTP传输中的状态。Cookies最典型的应用是判定注册用户是否已经登录网站，用户可能会得到提示，是否在下一次进入此网站时保留用户信息以便简化登录手续，这些都是Cookies的功用。

生存周期

Cookie可以保持登录信息到用户下次与服务器的会话，换句话说，下次访问同一网站时，用户会发现不必输入用户名和密码就已经登录了（当然，不排除用户手工删除Cookie）。而还有一些Cookie在用户退出会话的时候就被删除了，这样可以有效保护个人隐私。

Cookie在生成时就会被指定一个Expire值，这就是Cookie的生存周期，在这个周期内Cookie有效，超出周期Cookie就会被清除。有些页面将Cookie的生存周期设置为“0”或负值，这样在关闭页面时，就马上清除Cookie，不会记录用户信息，更加安全。
在浏览器中可以定制

脚本攻击

尽管cookie没有病毒那么危险，但它仍包含了一些敏感信息：用户名，计算机名，使用的浏览器和曾经访问的网站。用户不希望这些内容泄漏出去，尤其是当其中还包含有私人信息的时候。

这并非危言耸听，一种名为Cross site scripting的工具可以达到此目的。在受到Cross site scripting攻击时，cookie盗贼和cookie毒药将窃取内容。一旦cookie落入攻击者手中，它将会重现其价值。
cookie盗贼：搜集用户cookie并发给攻击者的黑客。攻击者将利用cookie信息通过合法手段进入用户帐户。
cookie毒药：利用安全机制，攻击者加入代码从而改写cookie内容，以便持续攻击。
Cookie360百科

三、Token是什么？

JWT（JSON Web Token）本质上就是一段签名的JSON格式的数据。由于它是带有签名的，因此接受者可以验证它的真实性。JWT就是一种不需要自己存放Session信息就能实现身份验证。

JWT由三个部分构成：

Header（算法）：描述JWT的元数据。定义了生成签名的算法以及Token的类型。
Payload（负载/有效期）：用来存放实际需要传递的数据
Signature（签名）：服务器通过Payload、Header和一个密钥（secret）Base64编码使用Header里面指定的签名算法（默认是HMAC SHA256）生成。