cookie session token的区别

首先我们需要知道，之所以出现cookie、seesion等，是因为http是无状态的。

无状态：就是说这一次请求和上一次请求是没有任何关系的，互不认识的，没有关联的。

1. cookie

比如在淘宝的某个页面中，你进行了登陆操作。当你跳转到商品页时，服务端如何知道你是已经登陆的状态。
首先产生了 cookie 这门技术来解决这个问题，cookie 是 http 协议的一部分，它的处理分为如下几步：

1. 服务器向客户端发送 cookie。

2. 通常使用 HTTP 协议规定的 set-cookie 头操作。

3. 规范规定 cookie 的格式为 name = value 格式，且必须包含这部分。

4. 浏览器将 cookie 保存。

5. 每次请求浏览器都会将 cookie 发向服务器。

由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。

若不设置过期时间，则表示这个cookie的生命期为浏览器会话期间，关闭浏览器窗口，cookie就消失。

若设置了过期时间，浏览器就会把cookie保存在硬盘上，关闭后再次打开浏览器，这些cookie仍然有效直到超过设定的过期时间。

2. session

当用户打开某个web应用时，便与web服务器产生一次session。服务器使用session把用户的信息临时保存在了服务器上，用户离开网站后session会被销毁。

当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否已包含了一个session标识（称为session id），如果已包含则说明以前已经为此客户端创建过session,服务器就按照session id把这个session检索出来使用（检索不到，会新建一个），如果客户端请求不包含session id，则为此客户端创建一个session并且生成一个与此session相关联的session id。

session id将被 在本次响应中返回给客户端保存。保存这个session id的方式可以采用cookie，这样在交互过程中浏览器 可以自动的按照规则把这个标识发送给服务器。一般这个cookie的名字就是类似于SESSIONID。

由于cookie可以被人为的禁止，必须有其他机制以便在cookie被禁止时仍然能够把session id传递回服务器。

URL重写（常用），就是把session id直接附加在URL路径的后面。

3. cookie和session的区别

1、cookie数据存放在客户的浏览器上，session数据放在服务器上。

2、cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗
考虑到安全应当使用session。

3、session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能
考虑到减轻服务器性能方面，应当使用COOKIE。

4、单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。

4. token

访问资源接口（API）时所需要的资源凭证，简单 token 的组成：uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign（签名，token 的前几位以哈希算法压缩成的一定长度的十六进制字符串）

token 的身份验证流程如下：

1. 客户端使用用户名跟密码请求登录
2. 服务端收到请求，去验证用户名与密码
3. 验证成功后，服务端会签发一个 token 并把这个 token 发送给客户端
4. 客户端收到 token 以后，会把它存储起来，比如放在 cookie 里或者 localStorage 里
5. 客户端每次向服务端请求资源的时候需要带着服务端签发的 token
6. 服务端收到请求，然后去验证客户端请求里面带着的 token ，如果验证成功，就向客户端返回请求的数据

4.1 JWT

JSON Web Token（简称 JWT），是为了在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准。简单来说就是token的一种。

5. seesion和token看起来差不多，到底有啥区别？

token 和 session 本质功能相似，但如果跨站使用，token 会更方便一些。

1. token支持移动设备：传统的HttpSession依靠浏览器的Cookie存放SessionId，所以要求客户端必须是浏览器。
2. token无状态、可扩展：基于Token的身份验证是无状态的，我们不将用户信息存在服务器中。这种概念解决了在服务端存储信息时的许多问题。NoSession意味着你的程序可以根据需要去增减机器，而不用去担心用户是否登录，不用去担心扩展性的问题。
3. token更安全：Token用于身份验证和授权，可以提供额外的安全措施。一般情况下，Token包含数字签名，可以验证用户身份以及确保数据的完整性和一致性。