cookie与session

cookie

指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据（通常经过加密）。简单点来说就是：浏览器缓存。

cookie由什么组成？

Cookie的形式： Cookie是由name=value形式成对存在的，Cookie字符串必须以分号作为结束符，Cookie除了name属性之外还存在其他4个相关属性。
　　设置Cookie的语法如下： set-Cookie:name=value;[expires=date];[path=dir];[domain=domainn];[secure]
　　1. name属性
　　唯一必须设置的属性，表示Cookie的名称
　　2. expires属性
　　指定Cookie在删除之前要在客户机上保持多长时间，如果不使用该属性，Cookie只对向前浏览器会话有用，当用户关闭浏览器时，Cookie就会自动消失。
　　3. path属性
　　决定Cookie对于服务器上的其他网页的可用性，在一般情况下，Cookie对于同一目录下的所有页面都可用。当设置path属性后，Cookie只对指定路径以及子路径的所有网页有效。
　　4. domain属性
许多服务器都由多台服务器组成，domian属性主要设置相同域的多台服务器共享一个Cookie。
5. secure属性
　　Internet链接本身是不安全的，为保证Internet上的数据安全，会使用SSL协议加密数据并使用安全连接传输数据，一般支持SSL的网站以HTTPS开头，Cookie的secure属性表示Cookie只能通过使用HTTPS或　　其他安全协议的Internet链接来传输。如果secure属性不出现，就意味着Cookie在网络上未加密发送。
　　secure属性指定必须通过https来访问，仅限加密连接，这样安全性更高
　6. HttpOnly
　　1、如果在Cookie中设置了"HttpOnly"属性，那么通过后台程序读取，JS脚本将无法读取到Cookie信息，这样能有效的防止XSS攻击。
　　2、但是设置HttpOnly属性，Cookie盗窃的威胁并没有彻底消除，因为cookie还是有可能传递的过程中被监听捕获后信息泄漏。

session与cookie区别：

1. cookie数据存放在客户的浏览器（客户端）上，session数据放在服务器上，但是服务端的session的实现对客户端的cookie有依赖关系的；
2. cookie不是很安全，别人可以分析存放在本地的COOKIE并进行COOKIE欺骗，考虑到安全应当使用session；
3. session会在一定时间内保存在服务器上。当访问增多，会比较占用你服务器的性能。考虑到减轻服务器性能方面，应当使用COOKIE；
4. 单个cookie在客户端的限制是3K，就是说一个站点在客户端存放的COOKIE不能超过3K；