基于 Token 的身份验证——Token ，Cookie和Session的区别

最新推荐文章于 2022-10-23 15:07:53 发布

伍铭

最新推荐文章于 2022-10-23 15:07:53 发布

阅读量507

点赞数

分类专栏： Python

本文链接：https://blog.csdn.net/qq_37631516/article/details/106667639

版权

本文详细介绍了Cookie、Session和Token在身份验证中的作用和区别。Cookie是浏览器存储的数据，用于在客户端维持状态；Session在服务器端保存用户信息，存在sessionID通过Cookie传递；Token作为令牌验证用户身份，适用于分布式系统，减轻服务器存储负担。基于Token的身份验证流程包括用户登录获取Token，之后携带Token请求资源，服务器验证并返回数据。

摘要由CSDN通过智能技术生成

Cookie
cookie 是一个非常具体的东西，指的就是浏览器里面能永久存储的一种数据，仅仅是浏览器实现的一种数据存储功能。

cookie由服务器生成，发送给浏览器，浏览器把cookie以kv形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。

Session
session 从字面上讲，就是会话。这个就类似于你和一个人交谈，你怎么知道当前和你交谈的是张三而不是李四呢？对方肯定有某种特征（长相等）表明他就是张三。

session 也是类似的道理，服务器要知道当前发请求给自己的是谁。为了做这种区分，服务器就要给每个客户端分配不同的“身份标识”，然后客户端每次向服务器发请求的时候，都带上这个“身份标识”，服务器就知道这个请求来自于谁了。至于客户端怎么保存这个“身份标识”，可以有很多种方式，对于浏览器客户端，大家都默认采用 cookie 的方式。

服务器使用session把用户的信息临时保存在了服务器上，用户离开网站后session会被销毁。这种用户信息存储方式相对cookie来说更安全，可是session有一个缺陷：如果web服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候session会丢失。