cookie和session的个人简单理解

cookie：存放在客户端/本地

1. 浏览器/客户端发起请求
2. 服务器响应：setCookie要求浏览器/客户端生成一个cookie
3. 浏览器/客户端保存cookie，并在下次请求中在请求头中发送这个cookie
4. 服务器识别这个浏览器发来的cookie，证明是同一用户
5. 这个用户请求相同的服务器都会发送这一cookie重复3-5步，服务器端可以使用命令更改cookie的信息。在cookie中也可以设置cookie的有效期。

session：存放在服务器端

1. 浏览器/客户端对服务器发起请求并把自身用户的信息及sessionID保存到cookie中一起发送到服务器端。
2. 服务器端会根据请求中的要求主动或强制生成一个session，这个session中保存了一些简单的用户信息及生成的sessionID，这个信息必须是简洁的，因为如果这个信息很复杂的话，如果有很多的用户通过session机制访问服务器时可能会导致内存溢出。
3. 在session中保存了一个叫做最后访问时间的参数：LoginTime，每次同一用户发送请求时都会更新这个参数在session中保存了一个叫做最后访问时间的参数：LoginTime，每次同一用户发送请求时都会更新这个参数

验证用户是否登录的逻辑：

1)用户密码登录时，在后台的req中记住session.

2)如果用户保存登录密码，则记住cookie，否则把当前用户的cookie设置为空;

3)每次用户需要向后台进行请求时，进行状态检验：

session是否存在？若存在，则继续进行请求操作，并将session的有效时间重新设置一次；

若不存在，则判断cookie是否存在?若存在，使用该cookie完成自动登录，即完成了一次1);

若不存在，则页面重定向到登录页面。

cookie 是钥匙，session 是锁，钥匙放在浏览器，拿玥匙开锁，设置cookie 是在response header里面设置的

session机制的特点：

1. session是以文本形式存储在服务器中，这样就不会怕客户端/浏览器修改session。
2. session具有生命周期，可以在session中设置，每次浏览器发送session时，都会设置一个最后登录时间。
3. session是轻量级的，不会占用太多的资源。包括：sessionID，session的生命周期（session的活动时间+session不活动的时间），session的最后登录时间。
4. Session对象内部有一个缓存

session对象的属性

name：cookie名称
value：cookie值
domain：可以访问cookie的域名，某一级域名可以访问上一级级域名的cookie
expires/Max-Age：过期时间
Size：cookie的大小
http：httponly属性，为true，不能用document.cookie获得
secure：为true只能在https获得
path：子路径访问父路径cookie

学习链接：

理解cookie session机制
cookie，session，实现服务器记忆用户登录状态功能
让服务器端记住登录状态，介绍两种常见的登录状态记录方式
cookie session有什么区别
几种登陆保持的方法